Od Access Servera do Community OpenVPN: sta treba ponovo izgraditi

Access Server i Community OpenVPN govore isti protokol i gotovo nista drugo na isti nacin. Rukovanje, pregovaranje o siframa i ravan podataka tunela su kompatibilni, pa se klijent cesto moze spojiti na oba bez uredjivanja profila. Razlika je u tome ko posjeduje konfiguraciju: jedan proizvod isporucuje sloj upravljanja koji pise i provodi politiku, a drugi vam daje konfiguracijsku datoteku i skup kuka i ocekuje da vi odlucite.

Ta razlika je plan migracije. Sve sto je stari proizvod odlucio umjesto vas mora postati izricita odluka negdje u novom postavljanju.

Gdje dva postavljanja prestaju biti zamjenjiva

U Access Serveru web sucelje za administraciju posjeduje korisnike, grupe, dozvole po korisniku, izdavanje certifikata i paket profila koji osoba preuzima. Demon ispod njega konfigurira se tim slojem, pa je usluga koja radi proizvod pohranjenog stanja koje rijetko uredjujete rucno. U Community OpenVPN konfiguracijska datoteka jest stanje: imenuje slusaca, tijelo za izdavanje certifikata, kuku za provjeru identiteta i svaku guranu opciju, i nista je ne prepisuje za vas. Isti TLS mehanizam zato stoji pod dva vrlo razlicita modela vlasnistva.

Kratko preslikavanje cini razliku konkretnom. Korisnici i grupe postoje samo u staroj bazi dok ih ne ponovo stvorite. Paketi profila postaju konfiguracijska datoteka plus certifikati koje sami dijelite. Dozvole po korisniku postaju direktive u client-config-dir. Administracijsko sucelje postaje koji god proces odaberete za izdavanje certifikata i uredjivanje datoteka.

Zapisite to preslikavanje prije nego dotaknete server. Svaki red koji ne mozete popuniti je funkcija koju cete izgubiti, a tih gubitak jedne je nacin na koji migracija postane prekid za dvije sedmice.

Identitet se ne prenosi s datotekama certifikata

Certifikati starog tijela mogu se ispravno parsirati u novoj usluzi i ipak biti pogresan identitet, jer ih je stari proizvod povezao sa stanjem racuna koje novi ne vidi. Prvo odlucite da li novo postavljanje provjerava identitet samo certifikatom, dodacima koji dosezu PAM ili RADIUS, ili kombinacijom, pa provjerite da svaka opcija cuva svojstva koja su vam potrebna. Zajednicki certifikat bez identiteta po korisniku jedan je akreditiv za svakoga ko ga ima. Opoziv mora raditi od prvog dana, sto u Community OpenVPN znaci CRL datoteku na koju upucuje crl-verify plus proces koji je ponovo generira.

Planirajte upis prije prelaska, a ne poslije. Novi certifikati, isprobana putanja opoziva i dokumentiran nacin da onemogucite jednu osobu su preduvjeti, a ne naknadni posao. Ako je visefaktorska provjera dosla iz integracije starog proizvoda, izricito navedite zamjenu, jer dodatak koji nije instaliran pada zatvoren u najgorem trenutku.

Rute i razrjesavanje imena prate onoga koji pise konfiguraciju

Rute, DNS postavke i ponasanje punog tunela gurane su opcije u oba proizvoda, ali samo ih jedan izracunava za vas. U Community OpenVPN sami pisete push direktive, odlucujete pripada li redirect-gateway serveru ili klijentu, i potvrdjujete da prosljedjivanje i NAT postoje na hostu. Zavrseno rukovanje ne govori vam nista o prosljedjivanju, prevodjenju adresa ili rutama koje je klijent stvarno primio.

Ponasanje po klijentu trazi client-config-dir plus datoteku nazvanu po uobicajenom imenu klijentovog certifikata, a par od lokacije do lokacije trazi iroute unose za prefikse iza sebe. Pogrijesite li u imenovanju, opcije se zanemaruju bez greske. Testirajte s jednim neprodukcijskim klijentom u njegovom vlastitom bazenu adresa, zatim procitajte adresu koja mu je dodijeljena, rute koje je dobio i postavke razrjesivaca s kojima je zavrsio.

Poredajte prelazak tako da se stara usluga moze vratiti

Pokrenite novog slusaca na drugom portu ili adresi i drzite starog da posluzuje promet dok dokazujete zamjenu. Dva demona na jednom socketu nisu plan vracanja.

Premjestajte jednu grupu po jednu, s vlastitim certifikatima, vlastitim bazenom i vlastitim rutama, i uvjezbajte put povratka umjesto da ga otkrijete tokom incidenta. Vracanje koje radi samo ako se nova usluga prvo zaustavi jos je vracanje, ali mora se testirati dok nista ne gori.

Na kraju, navedite funkcije bez izravnog ekvivalenta i odlucite o sudbini svake pismeno: samostalno preuzimanje profila, zastavice dozvola po korisniku, samo administrativno sucelje, izvjestaji o zivim vezama. Zamjena dokumentiranim rucnim procesom legitiman je odgovor. Ostavljanje reda praznim nije.

Posao je gotov kada korisnik koji nikada nije vidio stari portal moze se upisati, spojiti, doci do zeljene interne adrese i biti cisto opozvan. Sve prije te tocke je priprema.