OpenVPN appliance ruta: vlasnik konfiguracije ili startup skripta?
Granska ruta koja preživi jedno ponovno pokretanje i dalje može nestati nakon spremanja u GUI-ju ili ažuriranja firmvera. Uporedite podržanog vlasnika konfiguracije sa skriptom za zakrpe.
Dodate gransku rutu, ona radi, a zatim je ažuriranje firmvera ili spremanje iz web interfejsa ukloni. Dva rješenja u tom trenutku izgledaju jednako razumno: staviti rutu u podržani izvor konfiguracije uređaja ili je dodati generisanoj datoteci iz startup skripte. Ponašaju se isto sedmicu i razilaze se pri drugom nadograđivanju. Ovaj članak poredi šta svako od njih zapravo posjeduje.
Dva kandidata posjeduju različite stvari
Podržani izvor konfiguracije je sve što uređaj tretira kao ulaz: polje u GUI-ju, uvezeni profil, dokumentovani direktorij po klijentu, baza postavki koju čita upravljački paket. Generisani server.conf je izlaz. Uređivanje izlaza radi dok se generator ponovo ne pokrene, a to se dešava pri spremanju, pri ponovnom pokretanju i pri nadogradnji.
Pristup sa skriptom krpi taj izlaz nakon što generator završi. To je legitimna tehnika za laboratoriju i pogrešan je zadani izbor za gransku kancelariju, jer rutu čini zavisnom od poklapanja teksta, a ne od dokumentovanog polja.
| Question | Supported config source | Post-generation script |
|---|---|---|
| Survives a GUI save | Yes | Only if the save does not regenerate the file |
| Survives a package upgrade | Usually, when the field is documented | No guarantee; the wrapper can be replaced |
| Supportable by the vendor | Yes | No |
| Obvious to the next admin | Yes, it is in the UI | No, it lives in a wrapper |
Šta uređaj regeneriše i kada
Upravljački paketi obično drže postavke u bazi podataka ili skupu šablona i sastavljaju konfiguraciju demona pri pokretanju. Spremanje iz web interfejsa često prepisuje cijelu datoteku umjesto da krpi jednu liniju. Ako je vaša promjena živjela u toj datoteci, sada je nema, i ništa ne bilježi upozorenje, jer sa stanovišta uređaja ništa nije izgubljeno.
Startup omotači imaju drugi način otkaza. grep za direktivu s određenim razmacima prestaje da se poklapa nakon promjene šablona, a skripta tiho ne radi ništa. Gore od toga, ažuriranje firmvera može zamijeniti omotač novom verzijom i ponijeti zakrpu sa sobom. Tada imate rutu koja je postojala godinu i nestala tokom održavanja koje niko nije povezao s rutiranjem.
Šta podržani vlasnik mora izraziti
Granski prefiks zahtijeva tri izjave, ne jednu. Klijent mora naučiti rutu, server mora znati koji autentifikovani klijent posjeduje prefiks, a granska strana mora vraćati saobraćaj na adresu tunela koja joj je data. U OpenVPN terminima to znači poslani route, odgovarajući iroute vezan za klijenta, i povratnu putanju na drugoj strani.
Ovdje interfejsi uređaja zavode. Polje za potvrdu s oznakom „dozvoli klijentima pristup LAN-u servera“ opisuje saobraćaj prema vlastitoj mreži servera. Vaša grana je suprotan smjer: mreža iza jednog klijenta, dostupna sa strane servera. Ista oznaka ne podrazumijeva podršku za to, a valjana direktiva u datoteci nije obećanje da će je paket sačuvati.
Kada nema podržane kontrole
Ponekad instalirano izdanje zaista ne može izraziti rutu specifičnu za jednog partnera. Tada su iskrene opcije drugi gateway koji kontrolišete, ili podržani režim site-to-site na oba kraja. Oba kraja moraju ga govoriti. Stranica proizvoda koja kaže site-to-site ne čini proizvoljan OpenVPN profil zamjenjivim s tunelom drugog protokola, a forsiranje tog uparivanja obično daje poluspojen tunel koji dobro izgleda na stranici statusa.
Odaberite opciju koju možete opisati jednom rečenicom onome ko naslijedi mrežu. Ako odgovor zahtijeva spominjanje putanje skripte i tekstualnog obrasca, dizajn je već krhak.
Učinite namjeru provjerljivom
Zabilježite ugovor izvan uređaja: stvarni identitet klijenta, prefiks, povratni gateway i podržano polje koje daje svako od njih. Izvezite konfiguraciju kroz podržani mehanizam da bi ponovna izgradnja imala referencu, i provjerite uslugu nakon ponovnog povezivanja, restarta i nadogradnje, a ne samo nakon promjene.
Uporedite generisani rezultat s tim zapisom kada se nešto pokvari, umjesto da vraćate neobjašnjenu liniju i nadate se.OpenVPN 2.6 referenca je mjesto gdje potvrđujete kako route i iroute djeluju zajedno prije nego što se svađate s interfejsom.
Kontrolna lista za sljedeću promjenu: imenujte vlasnika, navedite trodijelni ugovor, izvezite namjeru i ponovo testirajte nakon vlastitih događaja životnog ciklusa uređaja, a ne nakon svoje izmjene.