OpenVPN cihazı marşrutu: konfiq sahibi yoxsa başlatma skripti?
Bir yenidən başlatmadan sağ çıxan filial marşrutu GUI-dən yadda saxlama və ya proqram təminatı yenilənməsindən sonra da yox ola bilər. Dəstəklənən konfiq sahibini yamaq skripti ilə müqayisə edin.
Filial marşrutu əlavə edirsiniz, işləyir, sonra proqram təminatı yenilənməsi və ya veb interfeysdən yadda saxlama onu silir. Həmin anda iki düzəliş eyni dərəcədə məqbul görünür: marşrutu cihazın dəstəklənən konfiqurasiya mənbəyinə qoymaq və ya onu başlatma skriptindən yaradılan fayla əlavə etmək. Bir həftə eyni davranır, ikinci yüksəltmədə ayrılırlar. Bu məqalə hər birinin əslində nəyə sahib olduğunu müqayisə edir.
İki namizəd fərqli şeylərə sahibdir
Dəstəklənən konfiqurasiya mənbəyi cihazın giriş kimi qəbul etdiyi hər şeydir: GUI sahəsi, idxal edilmiş profil, sənədləşdirilmiş müştəri üzrə qovluq, idarəetmə paketinin oxuduğu parametrlər verilənlər bazası. Yaradılan server.conf çıxışdır. Çıxışı redaktə etmək generator yenidən işləyənə qədər işləyir və bu, yadda saxlamada, yenidən başlatmada və yüksəltmədə baş verir.
Skript yanaşması generator bitdikdən sonra həmin çıxışı yamaqlayır. Bu, laboratoriya üçün qanuni bir texnikadır və filial ofisi üçün səhv standartdır, çünki marşrutu sənədləşdirilmiş sahədən deyil, mətn uyğunlaşdırmasından asılı edir.
| Question | Supported config source | Post-generation script |
|---|---|---|
| Survives a GUI save | Yes | Only if the save does not regenerate the file |
| Survives a package upgrade | Usually, when the field is documented | No guarantee; the wrapper can be replaced |
| Supportable by the vendor | Yes | No |
| Obvious to the next admin | Yes, it is in the UI | No, it lives in a wrapper |
Cihaz nəyi və nə vaxt yenidən yaradır
İdarəetmə paketləri adətən parametrləri verilənlər bazasında və ya şablon dəstində saxlayır və demon konfiqurasiyasını başlanğıcda hazırlayır. Veb interfeysdən yadda saxlama çox vaxt bir sətri yamaqlamaq əvəzinə bütün faylı yenidən yazır. Dəyişikliyiniz həmin faylda yaşayırdısa, indi yox olub və heç nə xəbərdarlıq qeyd etmir, çünki cihazın nöqteyi-nəzərindən heç nə itirilməyib.
Başlatma sarğılarının ikinci uğursuzluq rejimi var. Müəyyən boşluqlu direktiv üçün grep şablon dəyişikliyindən sonra uyğunlaşmağı dayandırır və skript səssizcə heç nə etmir. Daha pisi, proqram təminatı yenilənməsi sarğını yeni versiya ilə əvəz edib yamağı özüylə apara bilər. Sonra bir il mövcud olan və heç kimin marşrutla əlaqələndirmədiyi texniki xidmət zamanı yox olan marşrutunuz olur.
Dəstəklənən sahib nəyi ifadə etməlidir
Filial prefiksi bir deyil, üç ifadə tələb edir. Müştəri marşrutu öyrənməlidir, server hansı autentifikasiya olunmuş müştərinin prefiksə sahib olduğunu bilməlidir və filial tərəfi trafiki ona verilən tunel ünvanına qaytarmalıdır. OpenVPN baxımından bu, göndərilən route, müştəriyə bağlanan uyğun iroute və o biri tərəfdə qayıdış yolu deməkdir.
Cihaz interfeysləri burada yanıldır. “Müştərilərin server LAN-na girişinə icazə ver” etiketli onay qutusu serverin öz şəbəkəsinə doğru trafiki təsvir edir. Filialınız əks istiqamətdir: bir müştərinin arxasındakı şəbəkə, server tərəfindən əlçatan. Eyni etiket bunun dəstəkləndiyini ifadə etmir və fayldakı etibarlı direktiv paketin onu qoruyacağına dair vəd deyil.
Dəstəklənən nəzarət olmadıqda
Bəzən quraşdırılmış buraxılış həqiqətən həmkar üzrə marşrutu ifadə edə bilmir. Onda dürüst seçimlər sizin nəzarət etdiyiniz başqa şlüz və ya hər iki tərəfdə dəstəklənən sayt-sayt rejimidir. Hər iki son nöqtə onu danışmalıdır. Sayt-sayt deyən məhsul səhifəsi ixtiyari OpenVPN profilini başqa protokolun tuneli ilə dəyişdirilə bilən etmir və bu cütləşdirməni məcbur etmək adətən status səhifəsində yaxşı görünən yarımqoşulmuş tunel yaradır.
Şəbəkəni miras alan adama bir cümlə ilə təsvir edə biləcəyiniz variantı seçin. Cavab skript yolu və mətn nümunəsi qeyd etməyi tələb edirsə, dizayn artıq kövrəkdir.
Niyyəti auditə açıq edin
Müqaviləni cihazdan kənarda qeyd edin: faktiki müştəri kimliyi, prefiks, qayıdış şlüzü və hər birini təmin edən dəstəklənən sahə. Konfiqurasiyanı dəstəklənən mexanizmlə ixrac edin ki, yenidənqurmanın istinadı olsun və xidməti yalnız dəyişiklikdən sonra deyil, yenidən qoşulma, yenidən başlatma və yüksəltmədən sonra yoxlayın.
Nəsə pozulanda yaradılan nəticəni həmin qeydlə müqayisə edin, izahsız sətri bərpa edib ümid etmək əvəzinə.OpenVPN 2.6 arayışı interfeyslə mübahisə etməzdən əvvəl route və iroute-un necə qarşılıqlı təsir etdiyini təsdiqləmək üçün yerdir.
Növbəti dəyişiklik üçün yoxlama siyahısı: sahibi adlandırın, üçhissəli müqaviləni qeyd edin, niyyəti ixrac edin və cihazın öz həyat dövrü hadisələrindən sonra yenidən sınaqdan keçirin, redaktənizdən sonra deyil.