Ад Access Server да Community OpenVPN: што трэба перабудаваць

Access Server і Community OpenVPN размаўляюць на адным пратаколе і амаль ні на чым іншым аднолькава. Рукапоціск, узгадненне шыфраў і плоскасць даных тунеля сумяшчальныя, таму кліент часта можа падключыцца да любога з іх, не змяняючы свой профіль. Розніца ў тым, хто валодае канфігурацыяй: адзін прадукт пастаўляе ўзровень кіравання, які піша і ўмацоўвае палітыку, а другі дае вам файл канфігурацыі і набор хукаў і чакае, што рашэнне прымеце вы.

Гэтая розніца і ёсць план міграцыі. Усё, што стары прадукт вырашыў за вас, павінна стаць відавочным рашэннем дзесьці ў новым разгортванні.

Дзе два разгортванні перастаюць быць узаемазаменнымі

У Access Server вэб-інтэрфейс адміністравання валодае карыстальнікамі, групамі, дазволамі для кожнага карыстальніка, выпускам сертыфікатаў і пакетам профілю, які чалавек спампоўвае. Дэман пад ім наладжваецца гэтым узроўнем, таму працуючая служба — гэта вынік захаванага стану, які вы рэдка рэдагуеце ўручную. У Community OpenVPN файл канфігурацыі і ёсць стан: ён называе слухача, цэнтр сертыфікацыі, хук аўтэнтыфікацыі і кожную прасоўваемую опцыю, і нішто не перапісвае яго за вас. Такім чынам, адзін і той жа механізм TLS стаіць пад двума вельмі рознымі мадэлямі валодання.

Кароткая карта робіць разрыў канкрэтным. Карыстальнікі і групы існуюць толькі ў старой базе даных, пакуль вы не стварыце іх зноў. Пакеты профілю становяцца файлам канфігурацыі плюс сертыфікатамі, якія вы раздаяце самі. Дазволы для кожнага карыстальніка становяцца дырэктывамі ў client-config-dir. Інтэрфейс адміністравання становіцца любым працэсам, які вы выбераце для выпуску сертыфікатаў і рэдагавання файлаў.

Запішыце гэтую карту, перш чым кранаць сервер. Кожны радок, які вы не можаце запоўніць, — гэта функцыя, якую вы збіраецеся страціць, а маўклівая страта адной — гэта шлях, якім міграцыя становіцца прастоем праз два тыдні.

Ідэнтычнасць не пераносіцца разам з файламі сертыфікатаў

Сертыфікаты ад старога цэнтра могуць правільна разбірацца ў новай службе і ўсё адно быць няправільнай ідэнтычнасцю, бо стары прадукт спалучаў іх са станам уліковага запісу, якога новы не бачыць. Спачатку вырашыце, ці новае разгортванне аўтэнтыфікуе толькі па сертыфікаце, ці праз плагін, які дасягае PAM або RADIUS, ці праз нейкую камбінацыю, затым праверце, што кожная опцыя захоўвае патрэбныя вам уласцівасці. Агульны сертыфікат без ідэнтычнасці на карыстальніка — гэта адзін даверны элемент для ўсіх, хто яго мае. Адкліканне таксама мусіць працаваць з першага дня, што ў Community OpenVPN азначае файл CRL, на які спасылаецца crl-verify, плюс працэс, які перагенерыруе яго.

Плануйце рэгістрацыю да пераключэння, а не пасля. Новыя сертыфікаты, правераны шлях адклікання і дакументаваны спосаб адключыць аднаго чалавека — гэта перадумовы, а не наступная праца. Калі шматузроўневая аўтэнтыфікацыя прыйшла з інтэграцыі старога прадукту, назвіце замену відавочна, бо няўсталяваны плагін адмаўляе ў самы горшы момант.

Маршруты і развязанне імёнаў ідуць за тым, хто піша канфігурацыю

Маршруты, налады DNS і паводзіны поўнага тунеля — гэта прасоўваемыя опцыі ў абодвух прадуктах, але толькі адзін з іх вылічае іх за вас. У Community OpenVPN вы самі пішаце дырэктывы проджекту, вырашаеце, ці redirect-gateway належыць серверу або кліенту, і пацвярджаеце, што перадача і NAT існуюць на хасту. Завершаны рукапоціск нічога не кажа вам пра перадачу, трансляцыю адрасоў або маршруты, якія кліент фактычна атрымаў.

Паводзіны для кожнага кліента патрабуюць client-config-dir плюс файл з імем па агульным імені сертыфіката кліента, а партнёр паміж сайтамі патрабуе запісаў iroute для прэфіксаў за ім. Памыліцеся ў назве — і опцыі ігнаруюцца без памылкі. Тэстуйце на адным невытворчым кліенце ў яго ўласным пуле адрасоў, затым прачытайце прызначаны яму адрас, выдадзеныя маршруты і налады рэзалвера, з якімі ён скончыў.

Упарадкуйце пераключэнне так, каб старая служба магла вярнуцца

Запусціце новага слухача на іншым порце або адрасе і трымайце старога на абслугоўванні трафіку, пакуль даказваеце замену. Два дэманы на адным сокеце — гэта не план адкату.

Перамяшчайце па адной групе, з яе ўласнымі сертыфікатамі, уласным пулам і ўласнымі маршрутамі, і адпрацуйце шлях вяртання, а не выяўляйце яго падчас інцыдэнту. Адкат, які працуе, толькі калі новую службу спачатку спыніць, усё яшчэ адкат, але яго трэба праверыць, пакуль нішто не гарыць.

Нарэшце, пералічыце функцыі, якія не маюць прамога эквіваленту, і вырашыце лёс кожнай пісьмова: самастойнае спампоўванне профілю, сцягі дазволаў для кожнага карыстальніка, сам інтэрфейс адміністравання, справаздачы пра жывыя злучэнні. Замяніць іх дакументаваным ручным працэсам — гэта законны адказ. Пакінуць радок пустым — не.

Праца скончана, калі карыстальнік, які ніколі не бачыў стары партал, можа зарэгістравацца, падключыцца, дасягнуць патрэбнага ўнутранага адраса і быць чыста адкліканы. Усё да гэтага моманту — падрыхтоўка.