O Access Server i Community OpenVPN: beth sydd rhaid ei ailadeiladu

Mae Access Server a Community OpenVPN yn siarad yr un protocol a bron dim arall yr un ffordd. Mae'r ysgwyd llaw, trafodaeth seiffrau ac awyren ddata'r tiwnel yn gydnaws, felly gall cleient yn aml gysylltu a'r naill neu'r llall heb olygu ei broffil. Y gwahaniaeth yw pwy sy'n berchen ar y ffurfweddiad: mae un cynnyrch yn darparu haen reoli sy'n ysgrifennu ac yn gorfodi polisi, tra mae'r llall yn rhoi ffeil ffurfweddu a chliciedi i chi ac yn disgwyl i chi benderfynu.

Y gwahaniaeth hwnnw yw'r cynllun mudo. Rhaid i bopeth a benderfynodd y cynnyrch hen ar eich rhan ddod yn benderfyniad clir rywle yn y defnyddiad newydd.

Lle mae'r ddau ddefnyddiad yn peidio a bod yn gyfnewidiol

Yn Access Server mae'r rhyngwyneb gweinyddu ar y we yn berchen ar ddefnyddwyr, grwpiau, caniatadau fesul defnyddiwr, cyhoeddi tystysgrifau a'r pecyn proffil y mae person yn ei lawrlwytho. Mae'r daemon oddi tano yn cael ei ffurfweddu gan yr haen honno, felly mae'r gwasanaeth sy'n rhedeg yn gynnyrch cyflwr a storiwyd nad ydych yn ei olygu a llaw yn aml. Yn Community OpenVPN y ffeil ffurfweddu yw'r cyflwr: mae'n enwi'r gwrandawr, yr awdurdod tystysgrifau, y glicied dilysu a phob opsiwn a wthir, ac nid oes dim yn ei ailysgrifennu i chi. Felly mae'r un peiriant TLS yn sefyll o dan ddau fodel perchnogaeth hollol wahanol.

Mae map byr yn gwneud y bwlch yn glir. Dim ond yn y gronfa ddata hen y mae defnyddwyr a grwpiau yn bodoli nes i chi eu hailgreu. Mae pecynnau proffil yn dod yn ffeil ffurfweddu ynghyd a thystysgrifau yr ydych yn eu dosbarthu eich hun. Mae caniatadau fesul defnyddiwr yn dod yn gyfarwyddebau yn client-config-dir. Mae'r rhyngwyneb gweinyddu yn dod yn unrhyw broses a ddewiswch ar gyfer cyhoeddi tystysgrifau a golygu ffeiliau.

Ysgrifennwch y map hwnnw cyn cyffwrdd a gweinydd. Mae pob rhes na allwch ei llenwi yn nodwedd yr ydych ar fin ei cholli, a cholli un yn dawel yw'r ffordd y daw mudo yn ddiffyg dau wythnos yn ddiweddarach.

Nid yw hunaniaeth yn trosglwyddo gyda'r ffeiliau tystysgrif

Gall tystysgrifau'r awdurdod hen ddadansoddi'n gywir yn y gwasanaeth newydd a bod yn hunaniaeth anghywir o hyd, oherwydd roedd y cynnyrch hen wedi eu paru a chyflwr cyfrif na all yr un newydd ei weld. Penderfynwch yn gyntaf a yw'r defnyddiad newydd yn dilysu drwy dystysgrif yn unig, drwy ategyn sy'n cyrraedd PAM neu RADIUS, neu drwy ryw gyfuniad, yna gwiriwch fod pob opsiwn yn cadw'r priodweddau sydd eu hangen arnoch. Mae tystysgrif a rennir heb hunaniaeth fesul defnyddiwr yn un cymhwyster i bawb sy'n ei dal. Rhaid i ddirymu weithio o'r diwrnod cyntaf hefyd, sy'n golygu yn Community OpenVPN ffeil CRL y cyfeirir ati gan crl-verify ynghyd a phroses sy'n ei hailgynhyrchu.

Cynlluniwch gofrestru cyn y newid, nid ar ei ol. Mae tystysgrifau newydd, llwybr dirymu wedi'i brofi a ffordd ddogfennedig o analluogi un person yn rhagofynion, nid yn waith dilynol. Os daeth dilysu aml-ffactor o integreiddiad y cynnyrch hen, enwch yr amnewidiad yn glir, oherwydd mae ategyn nad yw wedi'i osod yn methu ar gau ar yr adeg waethaf bosibl.

Mae llwybrau a datrys enwau yn dilyn yr un sy'n ysgrifennu'r ffurfweddiad

Mae llwybrau, gosodiadau DNS ac ymddygiad tiwnel llawn yn opsiynau a wthir yn y ddau gynnyrch, ond dim ond un ohonynt yn eu cyfrifo i chi. Yn Community OpenVPN rydych yn ysgrifennu'r cyfarwyddebau push eich hun, yn penderfynu a yw redirect-gateway yn perthyn i'r gweinydd neu'r cleient, ac yn cadarnhau bod anfon ymlaen a NAT yn bodoli ar y gwesteiwr. Nid yw ysgwyd llaw gorffenedig yn dweud dim wrthych am anfon ymlaen, cyfieithu cyfeiriadau na'r llwybrau a dderbyniodd cleient mewn gwirionedd.

Mae angen ymddygiad fesul cleient ar client-config-dir ynghyd a ffeil a enwir ar ol enw cyffredin tystysgrif y cleient, ac mae angen cofnodion iroute ar bartner safle-i-safle ar gyfer y rhagddodiadau y tu ol iddo. Os gwnaethoch gamgymeriad yn yr enwi, anwybyddir yr opsiynau heb gamgymeriad. Profwch gydag un cleient nad yw'n gynhyrchiol yn ei bwll cyfeiriadau ei hun, yna darllenwch y cyfeiriad a neilltuwyd iddo, y llwybrau a roddwyd iddo a gosodiadau'r datryswr y daeth i ben a hwy.

Trefnwch y newid fel y gall y gwasanaeth hen ddychwelyd

Rhedwch y gwrandawr newydd ar borth neu gyfeiriad gwahanol, a chadwch yr hen un yn gwasanaethu traffig tra'r ydych yn profi'r amnewidiad. Nid yw dau daemon ar un soced yn gynllun cwympo yn ol.

Symudwch un grwp ar y tro, gyda'i dystysgrifau, ei bwll a'i lwybrau ei hun, ac ymarferwch y llwybr dychwelyd yn hytrach na'i ddarganfod yn ystod digwyddiad. Mae cwympo yn ol nad yw'n gweithio ond os atelir y gwasanaeth newydd yn gyntaf yn dal yn gwympo yn ol, ond rhaid ei brofi tra nad oes dim ar dan.

Yn olaf, rhedwch restr o'r nodweddion heb gyfateb uniongyrchol a phenderfynwch dynged pob un yn ysgrifenedig: lawrlwytho proffil hunan-wasanaeth, baneri caniatad fesul defnyddiwr, y rhyngwyneb gweinyddol ei hun, adroddiadau cysylltiadau byw. Mae eu disodli a phroses a llaw wedi'i dogfennu yn ateb cyfreithlon. Nid yw gadael y rhes yn wag.

Mae'r gwaith wedi'i wneud pan all defnyddiwr nad yw erioed wedi gweld y porth hen gofrestru, cysylltu, cyrraedd y cyfeiriad mewnol a fwriadwyd a chael ei ddirymu'n llan. Mae popeth cyn y pwynt hwnnw yn baratoad.