Planiranje OpenVPN prozora za održavanje bez gubljenja hosta

Ponovno pokretanje VPN servisa prekida svaku sesiju koja ga koristi, pa se prozor mora graditi oko razgovora, a ne oko upravitelja paketa. Korisnici trebaju dovoljno najave da završe osjetljiv posao, a vi trebate put natrag koji ne zavisi od tunela koji ćete zaustaviti. Sve ostalo u priručniku postoji da te dvije činjenice učini podnošljivim. Preskočite bilo koju i rutinsko ažuriranje postaje prekid bez izlaza.

Redoslijed ispod je namjeran: svaka faza proizvodi nešto što sljedeća faza treba, i svaka faza može završiti promjenu prije nego što počne.

Zabilježite servis koji postoji prije nego što ga promijenite

Čitajte instaliranu jedinicu, a ne onu koju se sjećate da ste pisali: systemctl cat [email protected] ispisuje jedinicu i sve drop-in datoteke, a systemctl show [email protected] -p ExecStart -p User -p WorkingDirectory pokazuje šta se stvarno izvršava i pod kojim identitetom. Pitajte binarnu datoteku koju ta jedinica imenuje, jer openvpn --version iz ljuske može se razriješiti u drugu gradnju. Zabilježite putanju profila i svaku datoteku na koju se poziva.

Obratite pažnju i na slušajuće sockete: ss -lunp | grep 1194 vam kaže koja adresa i protokol danas pripadaju demonu. Ako odgovor nije ono što profil sugerira, drop-in ili datoteka okruženja ga nadjačava, a nadogradnja će naslijediti to iznenađenje.

Sastavite set za oporavak koji bi neko drugi mogao koristiti

Set za oporavak mora biti upotrebljiv kolegi u 03:00 bez vašeg konteksta. Uključite efektivnu konfiguraciju sa svakom referenciranom datotekom, materijal povjerenja i opoziva pod kontrolom vlasnika PKI-ja, dodjele i kuke po klijentu te tačne verzije paketa instalirane danas. Kopija jednog imena datoteke nije konfiguracija. Pohranite ga negdje gdje dežurni operater može doći do njega bez VPN-a.

Kontrole pristupa vrijede i za taj set, jer sadrži privatne ključeve ili vjerodajnice pozadinskih sistema. Ne obnavljajte CA i ne izdajte identitete ponovo samo zato što se verzija paketa promijenila.

Vježbajte na pilot slušaču sa stvarnim klijentom

Pokrenite kandidatsko izdanje na odvojenom slušaču sa vlastitim planom portova i adresa, ne pored produkcijske instance na istom socketu. Povežite se klijentskim motorima koje vaši korisnici stvarno koriste, uključujući onaj nezgodni. Provjerite dodjelu adrese, gurnuti DNS, jednu aplikaciju koja je važna i jednu putanju koja treba ostati blokirana. Prilagođene kuke moraju se izvršavati u stvarnom kontekstu privilegija i datotečnog sistema servisa, jer root ljuska o njima ne dokazuje ništa.

Čitajte napomene o izdanju zbog promjena ponašanja, a ne samo zbog novih funkcija. Zadane vrijednosti za šifre i TLS mijenjaju se između verzija, a profil koji se još parsira ipak može pasti na rukovanju. Ako nadogradnja traži promjene profila ili certifikata, postavite to kao vlastiti korak umjesto da ga vežete uz ažuriranje paketa.

Prebacite jednom, s putanje izvan tunela

Započnite prozor s konzole ili upravljačke mreže koja ne prolazi kroz servis. Potvrdite da su korisnici obaviješteni i da drugi operater zna vratiti promjenu. Primijenite pripremljenu promjenu preko njenog vlasnika, pa ponovo pokrenite s sudo systemctl restart [email protected] i pratite dnevnik s journalctl -u openvpn-server@office -b -f. Ponovno učitavanje je dovoljno kad su se promijenile samo definicije jedinice; promijenjeni profil traži ponovno pokretanje procesa.

Očekujte da će se svaki klijent ponovo povezati i očekujte da se neke sesije aplikacija neće nastaviti. Uskladite čistu pauzu s radnim opterećenjima koja to ne mogu podnijeti.

Prihvatite ili vratite, pa recite korisnicima šta se promijenilo

Prihvatanje je nova prijava plus stvarna operacija plus ograničenja koja su još na snazi. Aktivna jedinica i zeleni red stanja su činjenice o procesu. Ako kriteriji ne prođu unutar prozora, vratite pripremljenom metodom, a ne vraćanjem jedne datoteke i nadom; promijenjena binarna datoteka ili politika servisa preživi vraćanje konfiguracije. Sačuvajte svaku promjenu opoziva ili autorizacije napravljenu tokom prozora kako vraćanje ne bi poništilo sigurnosni rad.

Zabilježite verzije, promjene profila i rezultate prihvatanja za sljedećeg operatera, povucite pilot slušač i recite korisnicima koji profil sada koristiti. Prozor koji završi bez te napomene ponovo se preispituje pri sljedećem ažuriranju.