Z Access Serveru na Community OpenVPN: co je treba znovu postavit

Access Server a Community OpenVPN mluvi stejnym protokolem a temer nicim jinym stejnym zpusobem. Handshake, vyjednavani sifer a datova rovina tunelu jsou kompatibilni, takze se klient casto pripoji k obema bez upravy profilu. Rozdil je v tom, kdo vlastni konfiguraci: jeden produkt dodava vrstvu spravy, ktera politiku pise a vynucuje, druhy vam da konfiguracni soubor a sadu hooku a ceka, ze rozhodnete vy.

Tento rozdil je plan migrace. Vse, co stary produkt rozhodl za vas, se musi stat vyslovnym rozhodnutim nekde v novem nasazeni.

Kde obe nasazeni prestavaji byt zamena

V Access Serveru vlastni webove administrativni rozhrani uzivatele, skupiny, opravneni pro kazdeho uzivatele, vydavani certifikatu a balik profilu, ktery si clovek stahne. Demon pod nim je konfigurovan touto vrstvou, takze bezici sluzba je produktem ulozeneho stavu, ktery jen zridka upravujete rucne. V Community OpenVPN je stavem konfiguracni soubor: pojmenovava listener, certifikacni autoritu, autentizacni hook a kazdou vnucenou volbu a nic ho za vas neprepisuje. Stejny stroj TLS tedy stoji pod dvema velmi odlisnymi modely vlastnictvi.

Kratke mapovani dela mezeru konkretni. Uzivatele a skupiny existuji jen ve stare databazi, dokud je nevytvorite znovu. Baliky profilu se stanou konfiguracnim souborem a certifikaty, ktere rozdavate sami. Opravneni pro uzivatele se stanou direktivami v client-config-dir. Administrativni rozhrani se stane jakymkoli procesem, ktery zvolite pro vydavani certifikatu a upravu souboru.

Zapisete to mapovani, nez se dotknete serveru. Kazdy radek, ktery nedokazete vyplnit, je funkce, kterou se chystate ztratit, a tiche ztraceni jedne je zpusob, jak se migrace za dva tydny stane vypadkem.

Identita se s certifikatovymi soubory neprestupa

Certifikaty stare autority se mohou v nove sluzbe spravne analyzovat a presto byt spatnou identitou, protoze je stary produkt sparoval se stavem uctu, ktery novy nevidi. Nejprve rozhodnete, zda nove nasazeni autentizuje pouze certifikatem, pluginem, ktery dosahne na PAM nebo RADIUS, nebo kombinaci, a pak overte, ze kazda volba zachovava vlastnosti, ktere potrebujete. Sdileny certifikat bez identity pro uzivatele je jeden poverovaci udaj pro kazdeho, kdo ho ma. Odvolani musi fungovat od prvniho dne, coz v Community OpenVPN znamena soubor CRL odkazovany z crl-verify plus proces, ktery ho regeneruje.

Naplanujte zapis pred prechodem, ne po nem. Nove certifikaty, otestovana cesta odvolani a zdokumentovany zpusob, jak vypnout jednoho cloveka, jsou predpoklady, ne nasledna prace. Pokud vicefaktorova autentizace prisla z integrace stareho produktu, pojmenujte nahradu vyslovne, protoze neinstalovany plugin selze zavrene v nejhorsim moznem okamziku.

Trasy a preklad jmen nasleduji toho, kdo pise konfiguraci

Trasy, nastaveni DNS a chovani plneho tunelu jsou vnucene volby v obou produktech, ale jen jeden z nich je za vas pocita. V Community OpenVPN pisete push direktivy sami, rozhodujete, zda redirect-gateway patri na server nebo klienta, a potvrzujete, ze na hostiteli existuje forwarding a NAT. Dokonceny handshake vam nerekne nic o forwardingu, prekladu adres ani o trasach, ktere klient skutecne dostal.

Chovani pro jednotlive klienty vyzaduje client-config-dir a soubor pojmenovany podle common name certifikatu klienta, a protejsek site-to-site vyzaduje zaznamy iroute pro prefixy za nim. Spletete-li pojmenovani, volby se ignoruji bez chyby. Testujte s jednim neprodukcnim klientem ve vlastnim fondu adres, pak prectete pridelenou adresu, pridelené trasy a nastaveni resolveru, se kterym skoncil.

Nacasujte prechod tak, aby se stara sluzba mohla vratit

Spustte novy listener na jinem portu nebo adrese a nechte stary obsluhovat provoz, dokud nahradu neprokazete. Dva demoni na jednom socketu nejsou plan navratu.

Presouvejte jednu skupinu po druhe, s vlastnimi certifikaty, vlastnim fondem a vlastnimi trasami, a nacvicte cestu zpet, misto abyste ji objevovali behem incidentu. Navrat, ktery funguje jen tehdy, kdyz se nova sluzba nejprve zastavi, je porad navrat, ale musi se testovat, dokud nic nehori.

Nakonec vypiste funkce bez primeho ekvivalentu a rozhodnete o osudu kazde pisemne: samoobsluzne stahovani profilu, priznaky opravneni pro uzivatele, samotne administrativni rozhrani, prehledy zivych pripojeni. Nahradit je zdokumentovanym rucnim postupem je legitimni odpoved. Nechat radek prazdny neni.

Prace je hotova, kdyz se uzivatel, ktery stary portal nikdy nevidel, muze zapsat, pripojit, dosahnout zamyslene interne adresy a byt ciste odvolan. Vse pred tim je priprava.