Planificar una finestra de manteniment d’OpenVPN sense perdre l’amfitrió

Reiniciar el servei de VPN acaba amb totes les sessions que l’utilitzen, així que la finestra s’ha de construir al voltant de les converses i no del gestor de paquets. Els usuaris necessiten prou avís per acabar la feina sensible, i vosaltres necessiteu una manera de tornar-hi que no depengui del túnel que esteu a punt d’aturar. Tota la resta del manual existeix per fer manejables aquests dos fets. Si en salteu un, una actualització rutinària es converteix en una caiguda sense sortida.

L’ordre de sota és deliberat: cada etapa produeix una cosa que la següent necessita, i qualsevol etapa pot acabar el canvi abans que comenci.

Enregistreu el servei que existeix abans de canviar-lo

Llegiu la unitat instal·lada i no la que recordeu haver escrit: systemctl cat [email protected] imprimeix la unitat i qualsevol drop-in, i systemctl show [email protected] -p ExecStart -p User -p WorkingDirectory mostra què s’executa realment i amb quin usuari. Consulteu el binari que anomena aquesta unitat, perquè openvpn --version des d’una shell pot resoldre’s a una compilació diferent. Anoteu el camí del perfil i cada fitxer que referencia.

Fixeu-vos també en els sockets d’escolta: ss -lunp | grep 1194 us diu quina adreça i quin protocol té avui el dimoni. Si la resposta no és la que suggereix el perfil, algun drop-in o fitxer d’entorn l’està sobreescrivint, i l’actualització heretarà aquesta sorpresa.

Aplegueu un conjunt de recuperació que una altra persona pugui fer servir

El conjunt de recuperació ha de ser utilitzable per un company a les 03:00 sense el vostre context. Incloeu la configuració efectiva amb cada fitxer referenciat, el material de confiança i revocació sota control del propietari de la PKI, les assignacions i els hooks per client, i les versions exactes dels paquets instal·lats avui. Una còpia d’un sol nom de fitxer no és una configuració. Guardeu-lo en un lloc on l’operador de guàrdia hi pugui arribar sense la VPN.

Els controls d’accés també s’apliquen a aquest conjunt, perquè conté claus privades o credencials de backend. No reconstruïu la CA ni torneu a emetre identitats només perquè ha canviat una versió de paquet.

Assageu en un oient pilot amb un client real

Executeu la versió candidata en un oient separat amb el seu propi pla de ports i adreces, no al costat de la instància de producció al mateix socket. Connecteu-vos amb els motors de client que els vostres usuaris fan servir de veritat, inclòs el que és incòmode. Comproveu l’assignació d’adreces, el DNS empès, una aplicació que importi i un camí que ha de continuar bloquejat. Els hooks personalitzats s’han d’executar en el context real de privilegis i de sistema de fitxers del servei, ja que una shell de root no demostra res sobre ells.

Llegiu les notes de la versió per buscar canvis de comportament, no només funcions noves. Els valors per defecte de xifratge i TLS es mouen entre versions, i un perfil que encara es parseja pot fallar l’handshake. Si l’actualització necessita canvis de perfil o de certificat, plantegeu-los com una etapa pròpia en lloc d’empaquetar-los amb l’actualització del paquet.

Feu el canvi una sola vegada, des d’un camí fora del túnel

Comença la finestra des d’una consola o una xarxa de gestió que no travessi el servei. Confirmeu que s’ha avisat els usuaris i que un segon operador sap com revertir-ho. Apliqueu el canvi preparat a través del seu propietari, reinicieu amb sudo systemctl restart [email protected] i seguiu el registre amb journalctl -u openvpn-server@office -b -f. Una recàrrega n’hi ha prou si només han canviat definicions d’unitat; un perfil canviat necessita reiniciar el procés.

Espereu que tots els clients es tornin a connectar i espereu que algunes sessions d’aplicació no es reprenguin. Coordineu una pausa neta amb les càrregues de treball que no ho toleren.

Accepteu o revertiu, i després digueu als usuaris què ha canviat

L’acceptació és un inici de sessió nou més una operació real més les restriccions que encara hi són. Una unitat activa i una línia d’estat verda són fets del procés. Si els criteris fallen dins de la finestra, revertiu amb el mètode preparat, no restaurant un sol fitxer i esperant-ho; un binari o una política de servei canviats sobreviuen a una restauració de la configuració. Conserveu qualsevol canvi de revocació o autorització fet durant la finestra perquè la reversió no desfaci feina de seguretat.

Anoteu les versions, els canvis de perfil i els resultats d’acceptació per al proper operador, retireu l’oient pilot i digueu als usuaris quin perfil han de fer servir ara. Una finestra que acaba sense aquesta nota es torna a discutir a la propera actualització.