Планиране на прозорец за поддръжка на OpenVPN без загуба на хоста

Рестартирането на VPN услугата прекратява всяка сесия, която я използва, затова прозорецът трябва да се изгради около разговорите, а не около мениджъра на пакети. На потребителите им трябва достатъчно предизвестие, за да довършат чувствителна работа, а на вас — път обратно, който не зависи от тунела, който ще спрете. Всичко останало в наръчника съществува, за да направи тези два факта управляеми. Пропуснете което и да е от двете и рутинната актуализация се превръща в прекъсване без изход.

Редът по-долу е умишлен: всеки етап създава нещо, което следващият етап изисква, и всеки етап може да прекрати промяната, преди да е започнала.

Запишете услугата, която съществува, преди да я промените

Четете инсталираната единица, а не тази, която си спомняте, че сте писали: systemctl cat [email protected] отпечатва единицата и всички drop-in файлове, а systemctl show [email protected] -p ExecStart -p User -p WorkingDirectory показва какво реално се изпълнява и от името на кого. Попитайте двоичния файл, който единицата посочва, защото openvpn --version от шел може да се разреши до друга компилация. Запишете пътя на профила и всеки файл, който той реферира.

Обърнете внимание и на слушащите сокети: ss -lunp | grep 1194 ви казва кой адрес и протокол притежава демонът днес. Ако отговорът не е това, което подсказва профилът, drop-in или файл за среда го презаписва и надграждането ще наследи тази изненада.

Съберете набор за възстановяване, който друг може да използва

Наборът за възстановяване трябва да е използваем от колега в 03:00 без вашия контекст. Включете действащата конфигурация с всеки рефериран файл, материала за доверие и отнемане под контрола на собственика на PKI, назначенията и куките за всеки клиент и точните версии на пакетите, инсталирани днес. Копие от едно име на файл не е конфигурация. Съхранявайте го там, където дежурният оператор може да го достигне без VPN.

Контролът на достъпа важи и за този набор, защото той съдържа частни ключове или бекенд идентификационни данни. Не преизграждайте CA и не преиздавайте идентичности само защото версия на пакет се е променила.

Тествайте на пилотен слушател с реален клиент

Пуснете кандидата на отделен слушател със собствен план за порт и адрес, не до производствената инстанция на същия сокет. Свържете се с клиентските машини, които потребителите ви реално използват, включително неудобната. Проверете назначаването на адрес, изтласкания DNS, едно приложение, което има значение, и един път, който трябва да остане блокиран. Персонализираните куки трябва да работят в реалния контекст на привилегии и файлова система на услугата, защото root шел не доказва нищо за тях.

Четете бележките към изданието за промени в поведението, а не само за нови функции. Подразбиранията за шифри и TLS се менят между версиите и профил, който все още се парсва, може да се провали при ръкостискане. Ако надграждането изисква промени в профила или сертификата, отделете ги като собствена стъпка, вместо да ги включвате към актуализацията на пакета.

Преминете веднъж, от път извън тунела

Започнете прозореца от конзола или мрежа за управление, която не минава през услугата. Потвърдете, че потребителите са уведомени и втори оператор знае как да върне назад. Приложете подготвената промяна чрез нейния собственик, после рестартирайте с sudo systemctl restart [email protected] и следете журнала с journalctl -u openvpn-server@office -b -f. Презареждане е достатъчно, когато са се променили само дефиниции на единицата; променен профил изисква рестартиране на процеса.

Очаквайте всеки клиент да се свърже отново и очаквайте някои сесии на приложения да не се възобновят. Координирайте чиста пауза с натоварванията, които не могат да понесат това.

Приемете или върнете назад, после кажете на потребителите какво се промени

Приемането е нов вход плюс реална операция плюс ограниченията, които все още са в сила. Активна единица и зелен ред за състояние са факти за процеса. Ако критериите се провалят в рамките на прозореца, върнете назад с подготвения метод, а не чрез възстановяване на един файл и надежда; променен двоичен файл или политика на услугата оцелява след възстановяване на конфигурацията. Запазете всяка промяна на отнемане или оторизация, направена по време на прозореца, за да не отмени връщането назад работа по сигурността.

Запишете версиите, промените в профила и резултатите от приемането за следващия оператор, изведете пилотния слушател от употреба и кажете на потребителите кой профил да ползват сега. Прозорец, който приключва без тази бележка, се преразглежда при следващата актуализация.