Jeden drop-in OpenVPN změnil všechny tunely: instance versus šablona

Zásada restartu přidaná pro jeden tunel se začne uplatňovat na každý tunel ve stroji. To není chyba systemd; je to rozdíl mezi drop-inem instance a drop-inem šablony. Cesta, pod kterou soubor zapíšete, rozhoduje o tom, kolik služeb jej zdědí.

Rozsah zvolte před nastavením. Oba adresáře vypadají téměř stejně a jen jeden z nich je omezen na instanci, kterou jste mysleli.

Příznak: jedna úprava, všechny tunely

Drop-in konkrétní instance sídlí v adresáři pojmenovaném podle plné instance, například [email protected]. Drop-in šablony sídlí v [email protected], se znakem @ a bez názvu instance mezi nimi. První se vztahuje jen na office. Druhý se vztahuje na každou službu vytvořenou z této šablony.

Forma šablony nedosáhne na samostatnou šablonu [email protected] a nedosáhne ani na nesouvisející služby s openvpn v názvu.

Zvolte adresář, který odpovídá rozsahu

Oba adresáře jsou pod /etc/systemd/system/. Vynechání poslední komponenty system vytvoří cestu, kterou systemd nečte jako systémové přepsání, což je tichý způsob, jak zajistit, aby soubor, který vypadá správně, nedělal nic. Zapište plnou cestu jednou a znovu ji používejte.

Drop-in také potřebuje správný nadpis sekce. Nastavení služby patří pod [Service]. Soubor s nastavením ale bez sekce se ignoruje nebo odmítne a jednotka se dál chová jako dřív, zatímco soubor tam leží a vypadá důvěryhodně.

Pokud přidáváte více než jeden drop-in, ponechte účel v názvu souboru. O sloučení rozhoduje lexikografické pořadí a název, který říká, co soubor dělá, činí toto pořadí čitelným.

Přečtěte si sloučenou jednotku před zápisem

Než cokoli zapíšete, přečtěte si sloučenou jednotku. systemctl cat [email protected] vypíše hlavní jednotku a každý platný drop-in v pořadí sloučení. Při zvažování změny šablony jej porovnejte s druhou instancí. Toto srovnání přesně ukáže, které služby úpravu zdědí.

Soubor instance nemaže nastavení šablony. Obě se sloučí, takže hodnota ze šablony, na kterou jste zapomněli, může stále platit.

Účastní se i další pojmenované drop-iny, nastavení za běhu a konfigurace dodávaná balíčky. Nepředpokládejte, že soubor, který jste upravili naposledy, je celá jednotka. Sloučený výstup je jednotka.

Držte zásady jednotky mimo profil

Držte zásady jednotky a konfiguraci VPN odděleně. Direktiva profilu se nestane platnou syntaxí systemd jen proto, že leží pod [Service]. Nastavení restartu také nepatří do souboru .ovpn.

Toto oddělení je také důvod, proč zásada restartu není totéž jako OpenVPN vlastní obnova protějšků. Než zvolíte rozsah, rozhodněte se, jaké chování chcete.

Použijte to a ověřte instanci

Po změně znovu načtěte definice správce pomocí systemctl daemon-reload. Toto načtení tunel nerestartuje; pouze znovu přečte soubory jednotek. Potom použijte zamýšlenou akci životního cyklu na přesnou instanci.

Ověřte to opětovným přečtením načtené jednotky a sledováním chování, které jste změnili. Restart, který nese aktivní práci, si zaslouží plánované přerušení, ne rychlý test na produkčním tunelu. Zapište účel a rozsah přepsání vedle nasazení, aby další člověk věděl, zda měl být soubor sdílený.

Pokud je zásada opravdu sdílená, přesuňte ji záměrně do šablony a před prohlášením za hotové zkontrolujte druhou instanci.Referenční příručka jednotek systemd dokumentuje prioritu drop-inů a pořadí sloučení.