Планаванне акна абслугоўвання OpenVPN без страты хоста

Перазапуск службы VPN завяршае кожную сесію, якая яе выкарыстоўвае, таму акно трэба будаваць вакол размоў, а не вакол менеджара пакетаў. Карыстальнікам патрэбна дастаткова часу, каб скончыць адчувальную працу, а вам патрэбен шлях назад, які не залежыць ад тунеля, які вы збіраецеся спыніць. Усё астатняе ў плэйбуку існуе, каб зрабіць гэтыя два факты кіраванымі. Прапусціце любы з іх — і звычайнае абнаўленне стане прастоем без выхаду.

Парадак ніжэй наўмысны: кожны этап стварае тое, што патрэбна наступнаму, і любы этап можа спыніць змену да яе пачатку.

Зафіксуйце службу, якая існуе, перш чым яе змяняць

Чытайце ўсталяваны юніт, а не той, які вы памятаеце, што пісалі: systemctl cat [email protected] друкуе юніт і ўсе drop-in, а systemctl show [email protected] -p ExecStart -p User -p WorkingDirectory паказвае, што фактычна запускаецца і ад чыйго імя. Запытайце бінарнік, які называе гэты юніт, бо openvpn --version з абалонкі можа развязацца ў іншую зборку. Запішыце шлях профілю і кожны файл, на які ён спасылаецца.

Звярніце ўвагу і на слухаючыя сокеты: ss -lunp | grep 1194 кажа, які адрас і пратакол дэман займае сёння. Калі адказ не той, што прапануе профіль, значыць, яго перакрывае drop-in або файл асяроддзя, і абнаўленне ўнаследуе гэтую нечаканасць.

Збярыце набор для аднаўлення, якім зможа скарыстацца іншы чалавек

Набор для аднаўлення павінен быць прыдатны для калегі а 03:00 без вашага кантэксту. Уключыце дзейную канфігурацыю з кожным файлам, на які яна спасылаецца, матэрыялы даверу і адклікання пад кантролем уладальніка PKI, прызначэнні і хукі для кожнага кліента, а таксама дакладныя версіі пакетаў, усталяваныя сёння. Копія аднаго імя файла — гэта не канфігурацыя. Захавайце яе там, адкуль дзяжурны аператар дабярэцца без VPN.

Кантроль доступу датычыцца і гэтага набору, бо ён змяшчае прыватныя ключы або ўліковыя даныя бэкенда. Не перабудоўвайце CA і не пераафармляйце ідэнтычнасці толькі таму, што змянілася версія пакета.

Прарэпетыруйце на пілотным слухачы з рэальным кліентам

Запусціце кандыдат на асобным слухачы з уласным планам порта і адраса, а не побач з прадукцыйным экзэмплярам на тым жа сокеце. Падключайцеся кліенцкімі рухавікамі, якія вашыя карыстальнікі рэальна выкарыстоўваюць, уключаючы няёмкі. Праверце прызначэнне адраса, DNS, што праштурхваецца, адну праграму, якая важная, і адзін шлях, які павінен заставацца заблакаваным. Карыстальніцкія хукі павінны выконвацца ў рэальным кантэксце прывілеяў і файлавай сістэмы службы, бо root-абалонка нічога пра іх не даказвае.

Чытайце нататкі да выпуску пра змены паводзін, а не толькі пра новыя функцыі. Значэнні па змаўчанні для шыфраў і TLS змяняюцца паміж версіямі, і профіль, які ўсё яшчэ разбіраецца, можа не прайсці рукапацісканне. Калі абнаўленне патрабуе змен профілю або сертыфіката, вынесіце гэта асобным крокам, а не далучайце да абнаўлення пакета.

Пераключыцеся адзін раз, з шляху па-за тунелем

Пачніце акно з кансолі або кіраўніцкай сеткі, якая не ідзе праз службу. Пацвердзіце, што карыстальнікаў папярэдзілі і другі аператар ведае, як адкоціцца. Прымяніце падрыхтаваную змену праз яе ўладальніка, потым перазапусціце з sudo systemctl restart [email protected] і сачыце за журналам праз journalctl -u openvpn-server@office -b -f. Перазагрузкі дастаткова, калі змяніліся толькі вызначэнні юніта; зменены профіль патрабуе перазапуску працэсу.

Чакайце, што кожны кліент перападключыцца, і чакайце, што некаторыя сесіі праграм не аднавядуцца. Узгадніце чыстую паўзу з нагрузкамі, якія гэтага не церпяць.

Прыміце або адкаціцеся, потым скажыце карыстальнікам, што змянілася

Прыёмка — гэта свежая ўваходзіна плюс рэальная аперацыя плюс абмежаванні, якія ўсё яшчэ дзейнічаюць. Актыўны юніт і зялёны радок стану — гэта факты пра працэс. Калі крытэрыі не выкананы ў межах акна, адкочвайцеся падрыхтаваным метадам, а не аднаўленнем аднаго файла з надзеяй; зменены бінарнік або палітыка службы перажывуць аднаўленне канфігурацыі. Захавайце любое змяненне адклікання або аўтарызацыі, зробленае падчас акна, каб адкат не адмяніў працу па бяспецы.

Запішыце версіі, змены профілю і вынікі прыёмкі для наступнага аператара, выведзіце пілотны слухач з эксплуатацыі і скажыце карыстальнікам, які профіль выкарыстоўваць цяпер. Акно, якое сканчаецца без гэтай нататкі, зноў абгаворваецца пры наступным абнаўленні.