OpenVPN রক্ষণাবেক্ষণ উইন্ডো পরিকল্পনা, হোস্ট না হারিয়ে

VPN সার্ভিস পুনরায় চালু করলে তা ব্যবহারকারী প্রতিটি সেশন শেষ হয়ে যায়, তাই উইন্ডোটি প্যাকেজ ম্যানেজারের চারপাশে নয়, কথাবার্তার চারপাশে গড়তে হবে। সংবেদনশীল কাজ শেষ করার জন্য ব্যবহারকারীদের যথেষ্ট নোটিশ দরকার, আর আপনার দরকার ফিরে আসার এমন একটি পথ যা আপনি যে টানেল বন্ধ করতে যাচ্ছেন তার উপর নির্ভর করে না। প্লেবুকের বাকি সব কিছু ওই দুটি তথ্য সামলানোযোগ্য করতে আছে। যে কোনো একটি বাদ দিলে নিয়মিত আপডেটই বেরোনোর পথহীন বিঘ্নে পরিণত হয়।

নিচের ক্রমটি ইচ্ছাকৃত: প্রতিটি ধাপ পরের ধাপের দরকারি কিছু তৈরি করে, এবং যেকোনো ধাপ শুরুর আগেই পরিবর্তনটি শেষ করতে পারে।

পরিবর্তনের আগে যে সার্ভিস আছে তা লিখে নিন

আপনি মনে করেন আপনি লিখেছিলেন সেটি নয়, ইনস্টল করা ইউনিটটি পড়ুন: systemctl cat [email protected] ইউনিট এবং যেকোনো drop-in ছাপে, আর systemctl show [email protected] -p ExecStart -p User -p WorkingDirectory দেখায় আসলে কী চলছে এবং কার নামে। ওই ইউনিট যে বাইনারির নাম দেয় সেটিকেই জিজ্ঞাসা করুন, কারণ শেল থেকে openvpn --version ভিন্ন একটি বিল্ডে মিলে যেতে পারে। প্রোফাইলের পথ এবং এটি যে প্রতিটি ফাইল উল্লেখ করে তা লিখে রাখুন।

শোনার সকেটগুলিও খেয়াল করুন: ss -lunp | grep 1194 বলে দেয় ডেমন আজ কোন ঠিকানা ও প্রোটোকলের মালিক। উত্তরটি যদি প্রোফাইল যা ইঙ্গিত করে তা না হয়, তবে কোনো drop-in বা এনভায়রনমেন্ট ফাইল সেটি উপরে চাপিয়ে দিচ্ছে, আর আপগ্রেড ওই অবাক করা বিষয়টিই উত্তরাধিকারে পাবে।

অন্য কেউ ব্যবহার করতে পারে এমন একটি পুনরুদ্ধার সেট জড়ো করুন

পুনরুদ্ধার সেটটি রাত 03:00-টায় আপনার প্রসঙ্গ ছাড়াই একজন সহকর্মীর ব্যবহারযোগ্য হতে হবে। কার্যকর কনফিগারেশনসহ প্রতিটি উল্লেখিত ফাইল, PKI মালিকের নিয়ন্ত্রণাধীন ট্রাস্ট ও প্রত্যাহার উপকরণ, প্রতি-ক্লায়েন্ট বরাদ্দ ও হুক, এবং আজ ইনস্টল করা সঠিক প্যাকেজ সংস্করণ অন্তর্ভুক্ত করুন। একটি ফাইলনামের কপি কোনো কনফিগারেশন নয়। এটি এমন জায়গায় রাখুন যেখানে অন-কল অপারেটর VPN ছাড়াই পৌঁছাতে পারেন।

প্রবেশ নিয়ন্ত্রণ সেই সেটেও প্রযোজ্য, কারণ এতে ব্যক্তিগত কী বা ব্যাকএন্ড ক্রেডেনশিয়াল থাকে। শুধু প্যাকেজ সংস্করণ বদলেছে বলে CA পুনর্নির্মাণ বা পরিচয় পুনরায় ইস্যু করবেন না।

প্রকৃত ক্লায়েন্ট নিয়ে পাইলট লিসেনারে মহড়া দিন

প্রার্থী রিলিজটি একই সকেটে প্রোডাকশন ইনস্ট্যান্সের পাশে নয়, নিজস্ব পোর্ট ও ঠিকানা পরিকল্পনাসহ আলাদা লিসেনারে চালান। আপনার ব্যবহারকারীরা সত্যিই যে ক্লায়েন্ট ইঞ্জিন চালান সেগুলো দিয়ে সংযোগ করুন, অস্বস্তিকরটিসহ। ঠিকানা বরাদ্দ, পুশ করা DNS, গুরুত্বপূর্ণ একটি অ্যাপ্লিকেশন এবং অবরুদ্ধ থাকা উচিত এমন একটি পথ পরীক্ষা করুন। কাস্টম হুক অবশ্যই সার্ভিসের প্রকৃত বিশেষাধিকার ও ফাইলসিস্টেম প্রসঙ্গে চলতে হবে, কারণ রুট শেল এদের সম্পর্কে কিছুই প্রমাণ করে না।

শুধু নতুন বৈশিষ্ট্যের জন্য নয়, আচরণগত পরিবর্তনের জন্যও রিলিজ নোট পড়ুন। সাইফার ও TLS ডিফল্ট সংস্করণের মধ্যে সরে যায়, আর এখনও পার্স হয় এমন প্রোফাইলও হ্যান্ডশেক ব্যর্থ করতে পারে। আপগ্রেডের জন্য প্রোফাইল বা সার্টিফিকেট পরিবর্তন দরকার হলে সেটিকে প্যাকেজ আপডেটে জুড়ে না দিয়ে আলাদা ধাপ হিসেবে রাখুন।

টানেলের বাইরের কোনো পথ থেকে একবার কাটওভার করুন

উইন্ডোটি শুরু করুন এমন কনসোল বা ম্যানেজমেন্ট নেটওয়ার্ক থেকে যা সার্ভিসের ভেতর দিয়ে যায় না। ব্যবহারকারীদের জানানো হয়েছে এবং দ্বিতীয় অপারেটর রোলব্যাক করতে জানেন তা নিশ্চিত করুন। প্রস্তুত পরিবর্তনটি তার মালিকের মাধ্যমে প্রয়োগ করুন, তারপর sudo systemctl restart [email protected] দিয়ে পুনরায় চালু করুন এবং journalctl -u openvpn-server@office -b -f দিয়ে জার্নাল অনুসরণ করুন। শুধু ইউনিট সংজ্ঞা বদলালে রিলোডই যথেষ্ট; বদলানো প্রোফাইলে প্রক্রিয়া পুনরায় চালু করা দরকার।

প্রতিটি ক্লায়েন্ট আবার সংযোগ করবে বলে আশা করুন, এবং কিছু অ্যাপ্লিকেশন সেশন পুনরায় শুরু হবে না বলেও আশা করুন। যা সহ্য করতে পারে না এমন ওয়ার্কলোডের সঙ্গে পরিষ্কার বিরতি সমন্বয় করুন।

গ্রহণ করুন বা রোলব্যাক করুন, তারপর ব্যবহারকারীদের কী বদলেছে জানান

গ্রহণযোগ্যতা মানে একটি নতুন লগইন প্লাস একটি প্রকৃত অপারেশন প্লাস এখনও বলবৎ বিধিনিষেধ। সক্রিয় ইউনিট আর সবুজ স্ট্যাটাস লাইন প্রক্রিয়ার তথ্য। উইন্ডোর ভেতরে মানদণ্ড ব্যর্থ হলে প্রস্তুত পদ্ধতিতেই রোলব্যাক করুন, একটি ফাইল ফিরিয়ে এনে আশা করে নয়; বদলানো বাইনারি বা সার্ভিস নীতি কনফিগারেশন পুনরুদ্ধারের পরেও টেকে। উইন্ডোর সময় করা যেকোনো প্রত্যাহার বা অনুমোদন পরিবর্তন সংরক্ষণ করুন যাতে রোলব্যাক নিরাপত্তার কাজটি উল্টে না দেয়।

পরবর্তী অপারেটরের জন্য সংস্করণ, প্রোফাইল পরিবর্তন ও গ্রহণযোগ্যতার ফলাফল লিখে রাখুন, পাইলট লিসেনার অবসর দিন, এবং ব্যবহারকারীদের এখন কোন প্রোফাইল ব্যবহার করতে হবে জানান। ওই নোট ছাড়া শেষ হওয়া উইন্ডো পরের আপডেটে আবার আলোচনায় আসে।