Access Serverdən Community OpenVPN-ə: nəyi yenidən qurmaq lazımdır

Access Server və Community OpenVPN eyni protokolu danışır, qalan hər şeyi isə demək olar ki, eyni cür demir. Əl sıxışması, şifr razılaşması və tunel məlumat müstəvisi uyğundur, ona görə də müştəri çox vaxt profilini redaktə etmədən hər ikisinə qoşula bilir. Fərq konfiqurasiyanın kimə aid olmasındadır: bir məhsul siyasəti yazan və tətbiq edən idarəetmə qatı verir, digəri isə sizə konfiqurasiya faylı və bir sıra qarmaqlar verib qərar verməyinizi gözləyir.

Bu fərq miqrasiya planıdır. Köhnə məhsulun sizin adınıza qərar verdiyi hər şey yeni yerləşdirmədə açıq bir qərara çevrilməlidir.

İki yerləşdirmənin bir-birini əvəz etməyi dayandırdığı yer

Access Serverdə veb idarəetmə interfeysi istifadəçilərə, qruplara, hər istifadəçi üzrə icazələrə, sertifikat verilişinə və birinin yüklədiyi profil paketinə sahibdir. Altındakı demon həmin qat tərəfindən konfiqurasiya olunur, ona görə də işləyən xidmət əl ilə nadir hallarda dəyişdirdiyiniz saxlanmış vəziyyətin məhsuludur. Community OpenVPN-də konfiqurasiya faylı vəziyyətin özüdür: dinləyicini, sertifikat orqanını, autentifikasiya qarmağını və hər ötürülən seçimi adlandırır və heç nə onu sizin üçün yenidən yazmır. Buna görə eyni TLS mexanizmi iki tamamilə fərqli sahiblik modeli altında dayanır.

Qısa xəritə boşluğu konkret edir. İstifadəçilər və qruplar yalnız köhnə verilənlər bazasında, siz onları yenidən yaratmayana qədər mövcuddur. Profil paketləri konfiqurasiya faylı və özünüz payladığınız sertifikatlar olur. Hər istifadəçi üzrə icazələr client-config-dir daxilində direktivlər olur. İdarəetmə interfeysi sertifikat vermək və faylları redaktə etmək üçün seçdiyiniz hansısa proses olur.

Serverə toxunmadan əvvəl bu xəritəni yazın. Doldura bilmədiyiniz hər sətir itirmək üzrə olduğunuz bir funksiyadır və birini səssizcə itirmək miqrasiyanın iki həftə sonra kəsilməyə çevrilməsinin yoludur.

Kimlik sertifikat faylları ilə ötürülmür

Köhnə orqanın sertifikatları yeni xidmətdə düzgün oxuna və yenə də səhv kimlik ola bilər, çünki köhnə məhsul onları yenisinin görə bilmədiyi hesab vəziyyəti ilə cütləşdirmişdi. Əvvəlcə qərar verin: yeni yerləşdirmə yalnız sertifikatla, PAM və ya RADIUS-a çatan plaqinlə, yoxsa hansısa birləşmə ilə autentifikasiya edir, sonra hər seçimin lazım olan xassələri qoruduğunu yoxlayın. Hər istifadəçi üzrə kimliyi olmayan ortaq sertifikat onu daşıyan hər kəs üçün bir etimadnamədir. Ləğv də ilk gündən işləməlidir ki, bu Community OpenVPN-də crl-verify tərəfindən istinad edilən CRL faylı və onu yenidən yaradan proses deməkdir.

Keçidi sonra deyil, əvvəl planlaşdırın. Yeni sertifikatlar, sınaqdan keçmiş ləğv yolu və bir nəfəri söndürməyin sənədləşdirilmiş yolu ilkin şərtlərdir, sonrakı iş deyil. Əgər çoxfaktorlu autentifikasiya köhnə məhsulun inteqrasiyasından gəlibsə, əvəzi açıq şəkildə adlandırın, çünki quraşdırılmamış plaqin ən pis anda qapalı şəkildə uğursuz olur.

Marşrutlar və ad həlli konfiqurasiya yazanı izləyir

Marşrutlar, DNS parametrləri və tam tunel davranışı hər iki məhsulda ötürülən seçimlərdir, amma onları sizin üçün yalnız biri hesablayır. Community OpenVPN-də ötürmə direktivlərini özünüz yazırsınız, redirect-gateway-nin serverdə, yoxsa müştəridə olmasına qərar verirsiniz və hostda yönləndirmə ilə NAT-ın olduğunu təsdiqləyirsiniz. Bitmiş əl sıxışması sizə yönləndirmə, ünvan çevrilməsi və ya müştərinin həqiqətən aldığı marşrutlar haqqında heç nə demir.

Hər müştəri üzrə davranış client-config-dir və müştərinin sertifikat ümumi adı ilə adlandırılmış fayl tələb edir, sayt-sayt həmkarı isə arxasındakı prefikslər üçün iroute qeydləri tələb edir. Adlandırmanı səhv etsəniz, seçimlər xəta vermədən nəzərə alınmır. Öz ünvan hovuzunda bir qeyri-istehsalat müştərisi ilə sınaqdan keçirin, sonra ona verilən ünvanı, verilən marşrutları və çıxdığı rezolver parametrlərini oxuyun.

Keçidi elə ardıcıllaşdırın ki, köhnə xidmət qayıda bilsin

Yeni dinləyicini fərqli portda və ya ünvanda işlədin, əvəzetməni sübut edərkən köhnəni trafikə xidmət etməyə davam etdirin. Bir soketdə iki demon geri qaytarma planı deyil.

Bir qrupu bir dəfə köçürün, öz sertifikatları, öz hovuzu və öz marşrutları ilə, və geri dönüş yolunu insident zamanı kəşf etmək əvəzinə məşq edin. Yalnız yeni xidmət əvvəlcə dayandırılarsa işləyən geri qaytarma yenə geri qaytarmadır, amma heç nə yanmırkən sınaqdan keçirilməlidir.

Nəhayət, birbaşa ekvivalenti olmayan funksiyaları sadalayın və hər birinin taleyini yazılı şəkildə qərarlaşdırın: özünəxidmət profil yükləməsi, hər istifadəçi üzrə icazə bayraqları, idarəetmə interfeysinin özü, canlı bağlantı hesabatı. Onları sənədləşdirilmiş əl prosesi ilə əvəz etmək qanuni cavabdır. Sətri boş qoymaq isə deyil.

İş o zaman bitir ki, köhnə portalı heç vaxt görməmiş istifadəçi qeydiyyatdan keçə, qoşula, nəzərdə tutulan daxili ünvana çata və təmiz şəkildə ləğv oluna bilsin. Bundan əvvəlki hər şey hazırlıqdır.