OpenVPN Access Server: перазапусціць дэман ці ўжыць наладу

Дзве каманды ўстаўляюць для выгляду адной задачы на OpenVPN Access Server, але робяць яны рознае. systemctl restart openvpnas спыняе і запускае ўвесь прадукт. sacli start падымае ўнутраныя службы, якія чытаюць канфігурацыю, што вы толькі што змянілі. Выбар паміж імі не пытанне густу: ён залежыць ад таго, што кажа дакументацыя самой налады, ці ідзе ваш сеанс праз сервер, які вы збіраецеся перазапусціць, і ці глядзіце вы ўвогуле на той прадукт.

Два ўзроўні, адзін дэман

Access Server працуе як адзін юніт systemd, openvpnas, і гэты дэман кіруе ўнутранымі службамі за вэб-інтэрфейсам і слухачамі VPN. sacli — гэта інтэрфейс каманднага радка да той жа ўстаноўкі, па адрасе /usr/local/openvpn_as/scripts/sacli, і ён можа запускаць, спыняць і апытваць гэтыя ўнутраныя кампаненты, не замяняючы юніт.

Менавіта таму існуюць абедзве каманды. Перазапуск дэмана выконвае ўсё нанова, уключна з працэсам, які завяршае кліенцкія тунелі. sacli start просіць ужо запушчаны дэман падняць свае кампаненты, каб яны прачыталі новую канфігурацыю, і менавіта гэтага патрабуе большасць змен уласцівасцей.

Умова першая: што кажа дакументацыя налады

Чытайце старонку налады, якую вы змянілі, а не тую, якую змянялі ў мінулым месяцы. Пасля ўласцівасці, запісанай праз ConfigPut, звычайна ідзе sacli start, і гэтая пара — дакументаваны крок ужывання. Змена паводзін на ўзроўні слухача або ўсё, што старонка апісвае як патрабуючае перазапуску службы, — гэта клас, дзе перазапуск юніта правільны.

Дзве каманды не ўзаемазамяняльныя, таму памылка здагадкі несіметрычная. Калі патрэбен быў поўны перазапуск, а вы ўжылі sacli start, стары працэс працягвае абслугоўваць папярэднюю канфігурацыю, і гэта выглядае так, нібы наладу праігнаравалі. Калі ж хапала sacli start, а вы зрабілі поўны перазапуск, вы без прычыны скідваеце ўсіх падключаных кліентаў.

Умова другая: ці ваш сеанс унутры тунелю

Калі вы кіруеце Access Server праз VPN, які ён дае, перазапуск забірае злучэнне, што трымае ваш shell. Каманда можа завяршыцца ўжо пасля смерці сеансу, і вам давядзецца здагадвацца, ці спрацавала. sacli start таксама можа на імгненне перарваць сеанс з той жа прычыны, калі кампанент, што перазапускаецца, апрацоўвае ваш трафік.

Трымайце адкрытым пазапаласны шлях да любой з каманд: кансоль правайдэра, кансоль гіпервізара або паслядоўны сеанс. Гэтая ўмова вырашае, калі выконваць каманду, а не якую менавіта, і яна ж ператварае двуххвілінную змену ў справаздачу пра збой.

Умова трэцяя: ці гэта той прадукт, пра які вы думаеце

Access Server — гэта не Community OpenVPN. Супольнасная ўстаноўка запускае юніты накшталт openvpn@server ці openvpn-client@profile, з канфігурацыяй у /etc/openvpn, і sacli там няма. Перазапуск кожнага юніта з openvpn у назве на агульным хасце — гэта спосаб пакласці разам незвязаныя тунелі.

Вызначце, перш чым нешта чапаць: systemctl status openvpnas --no-pager адказвае, ці працуе менавіта Access Server, sacli status пералічвае яго ўнутраныя кампаненты, а systemctl list-units --type=service пералічвае юніты, у назвах якіх ёсць openvpn. Калі апошняя каманда паказвае юніты з назвамі профіляў, вы на супольным прадукце, і ўсё астатняе тут не пра вас.

Ужывіце, потым праверце больш за active

Юніт са станам active мае працэс, які працуе, але гэта не тое ж самае, што працоўны шлях аўтэнтыфікацыі. Пасля кроку ўжывання праверце sacli status для кампанентаў, якія чакалі перазапусціць, пацвердзіце, што значэнне захавана праз sacli ConfigQuery, а затым выканайце адзін абмежаваны ўваход кліента пад тэставым уліковым запісам.

Скончыце чымсьці на ўзроўні праграмы: дасягніце прыватнага рэсурсу праз тунель, а не проста ping да публічнага адрасу сервера. Рукапоціск, які ўдаецца, калі прапушчаны маршрут або налада DNS няправільныя, пройдзе ўсе праверкі службы і ўсё роўна падвядзе чалавека, што паведаміў пра праблему.

падручнік правайдэра па кіраванні службамі — гэта даведнік пра тое, якія аперацыі належаць sacli, і яго варта адкрыць, перш чым вырашыць, што перазапуск — бяспечны варыянт.

Рашэнне за адзін праход

Прайдзіце гэтыя чатыры радкі і спыніцеся на першым, што падыходзіць:

• Старонка налады называе sacli start, або вы толькі што выканалі ConfigPut: ужывайце sacli start.
• Старонка патрабуе перазапуску, або змена датычыць слухачоў, а не ўласцівасцей: ужывайце systemctl restart openvpnas.
• Ваш shell прыходзіць праз гэты сервер: спачатку забяспечце доступ да кансолі, затым выканайце тую каманду, якую абралі два радкі вышэй.
• Праверка: sacli status, ConfigQuery для значэння, адзін уваход, адзін прыватны рэсурс. Адзін стан службы — не фінішная рыса.

Два з гэтых радкоў — праверкі, а два — дзеянні, і ў гэтым сэнс парадку. Калі вы не можаце адказаць на пытанне пра прадукт, спыніцеся: каманда, якую вы збіраліся выканаць, належыць іншай устаноўцы, і тунель, які вы скінеце, будзе не тым, што вы мелі на ўвазе.