Ruta de l'aparell OpenVPN: propietari de la configuració o script d'inici?
Una ruta de sucursal que sobreviu a un reinici encara pot desaparèixer després de desar des de la GUI o d'una actualització del firmware. Compareu el propietari de configuració admès amb un script de pedaços.
Afegiu una ruta de sucursal, funciona, i després una actualització del firmware o un desament des de la interfície web l'elimina. Dues solucions semblen igual de raonables en aquell moment: posar la ruta a la font de configuració admesa de l'aparell, o afegir-la al fitxer generat des d'un script d'inici. Es comporten igual durant una setmana i divergeixen a la segona actualització. Aquest article compara què posseeix realment cadascuna.
Els dos candidats posseeixen coses diferents
La font de configuració admesa és tot allò que l'aparell tracta com a entrada: un camp de la GUI, un perfil importat, un directori documentat per client, una base de dades de paràmetres que llegeix el paquet de gestió. El server.conf generat és sortida. Editar la sortida funciona fins que el generador torna a executar-se, cosa que passa en desar, en reiniciar i en actualitzar.
L'enfocament amb script pedaça aquesta sortida després que el generador acabi. És una tècnica legítima per a un laboratori, i és el valor per defecte equivocat per a una oficina de sucursal, perquè fa que la ruta depengui de la coincidència de text en lloc d'un camp documentat.
| Question | Supported config source | Post-generation script |
|---|---|---|
| Survives a GUI save | Yes | Only if the save does not regenerate the file |
| Survives a package upgrade | Usually, when the field is documented | No guarantee; the wrapper can be replaced |
| Supportable by the vendor | Yes | No |
| Obvious to the next admin | Yes, it is in the UI | No, it lives in a wrapper |
Què regenera l'aparell, i quan
Els paquets de gestió solen guardar els paràmetres en una base de dades o en un conjunt de plantilles i renderitzen la configuració del dimoni en arrencar. Un desament des de la interfície web sovint reescriu tot el fitxer en lloc de pedaçar una línia. Si el vostre canvi vivia en aquell fitxer, ara ha desaparegut, i res no registra un avís perquè, des del punt de vista de l'aparell, no s'ha perdut res.
Els embolcalls d'inici tenen un segon mode de fallada. Un grep per a una directiva amb un espaiat concret deixa de coincidir després d'un canvi de plantilla, i l'script no fa res en silenci. Pitjor encara, una actualització del firmware pot substituir l'embolcall per una versió nova i endur-se el pedaç. Aleshores teniu una ruta que va existir un any i va desaparèixer durant un manteniment que ningú no va relacionar amb l'encaminament.
Què ha d'expressar el propietari admès
Un prefix de sucursal necessita tres declaracions, no una. El client ha d'aprendre la ruta, el servidor ha de saber quin client autenticat posseeix el prefix, i el costat de la sucursal ha de retornar el trànsit a l'adreça de túnel que se li va donar. En termes d'OpenVPN, això significa un route enviat, un iroute corresponent lligat al client, i un camí de retorn a l'altre costat.
Aquí és on les interfícies dels aparells enganyen. Una casella etiquetada «permet als clients accedir a la LAN del servidor» descriu trànsit cap a la xarxa pròpia del servidor. La vostra sucursal és la direcció oposada: una xarxa darrere d'un client, abastable des del costat del servidor. La mateixa etiqueta no implica suport per a això, i una directiva vàlida en un fitxer no és una promesa que el paquet la preservi.
Quan no existeix cap control admès
De vegades la versió instal·lada genuïnament no pot expressar una ruta específica d'un igual. Aleshores les opcions honestes són una altra passarel·la que controleu, o un mode lloc a lloc admès als dos extrems. Tots dos extrems l'han de parlar. Una pàgina de producte que diu lloc a lloc no fa que un perfil OpenVPN arbitrari sigui intercanviable amb el túnel d'un altre protocol, i forçar aquest emparellament sol produir un túnel mig connectat que es veu bé en una pàgina d'estat.
Trieu l'opció que pugueu descriure en una frase a qui hereti la xarxa. Si la resposta requereix esmentar un camí d'script i un patró de text, el disseny ja és fràgil.
Feu la intenció auditable
Registreu el contracte fora de l'aparell: identitat efectiva del client, prefix, passarel·la de retorn i el camp admès que forneix cadascun. Exporteu la configuració pel mecanisme admès perquè una reconstrucció tingui una referència, i verifiqueu el servei després d'una reconnexió, un reinici i una actualització, no només després del canvi.
Compareu el resultat generat amb aquest registre quan alguna cosa es trenqui, en lloc de restaurar una línia sense explicació i esperar-ho.referència d'OpenVPN 2.6 és el lloc per confirmar com interactuen route i iroute abans de discutir amb una interfície.
Llista de comprovació per al proper canvi: anomeneu el propietari, exposeu el contracte en tres parts, exporteu la intenció i torneu a provar després dels esdeveniments del cicle de vida de l'aparell, no després de la vostra edició.