Cynllunio ffenestr gynnal a chadw OpenVPN heb golli’r gwesteiwr

Mae ailgychwyn y gwasanaeth VPN yn gorffen pob sesiwn sy’n ei ddefnyddio, felly rhaid adeiladu’r ffenestr o amgylch sgyrsiau yn hytrach nag o amgylch y rheolwr pecynnau. Mae angen digon o rybudd ar ddefnyddwyr i orffen gwaith sensitif, ac mae angen ffordd yn ôl nad yw’n dibynnu ar y twnnel rydych ar fin ei stopio arnoch chi. Mae popeth arall yn y llawlyfr yn bodoli i wneud y ddau ffaith hynny’n hydrin. Hepgorwch y naill neu’r llall a daw diweddariad arferol yn ddiffyg heb ffordd allan.

Mae’r drefn isod yn fwriadol: mae pob cam yn cynhyrchu rhywbeth y mae’r cam nesaf ei angen, a gall unrhyw gam ddod â’r newid i ben cyn iddo ddechrau.

Cofnodwch y gwasanaeth sy’n bodoli cyn ei newid

Darllenwch yr uned sydd wedi’i gosod yn hytrach na’r un rydych yn cofio ei hysgrifennu: mae systemctl cat [email protected] yn argraffu’r uned ac unrhyw drop-in, ac mae systemctl show [email protected] -p ExecStart -p User -p WorkingDirectory yn dangos beth sy’n rhedeg mewn gwirionedd a dan ba enw. Gofynnwch i’r deuaidd y mae’r uned honno’n ei enwi, oherwydd gall openvpn --version o gragen ddatrys i gynhyrchiad gwahanol. Cofnodwch lwybr y proffil a phob ffeil y mae’n cyfeirio ati.

Sylwch ar y socedi gwrando hefyd: mae ss -lunp | grep 1194 yn dweud pa gyfeiriad a pha brotocol sydd gan y daemon heddiw. Os nad yr ateb yw’r hyn y mae’r proffil yn ei awgrymu, mae drop-in neu ffeil amgylchedd yn ei ddiystyru, a bydd y diweddariad yn etifeddu’r syndod hwnnw.

Casglwch set adfer y gallai rhywun arall ei defnyddio

Rhaid i’r set adfer fod yn ddefnyddiadwy gan gydweithiwr am 03:00 heb eich cyd-destun. Cynhwyswch y ffurfweddiad effeithiol gyda phob ffeil y cyfeirir ati, y deunydd ymddiriedaeth ac adalw o dan reolaeth perchennog y PKI, y dyraniadau a’r bachau fesul cleient, a’r union fersiynau pecyn sydd wedi’u gosod heddiw. Nid yw copi o un enw ffeil yn ffurfweddiad. Storiwch ef yn rhywle y gall y gweithredwr ar alwad ei gyrraedd heb y VPN.

Mae rheolaethau mynediad yn berthnasol i’r set honno hefyd, oherwydd ei bod yn cynnwys allweddi preifat neu gymwysterau backend. Peidiwch ag ailadeiladu’r CA nac ailddyroddi hunaniaethau dim ond oherwydd bod fersiwn pecyn wedi newid.

Ymarferwch ar wrandawr peilot gyda chleient go iawn

Rhedwch y rhyddhau ymgeisiol ar wrandawr ar wahân gyda’i gynllun porthladd a chyfeiriad ei hun, nid wrth ymyl y rhifyn cynhyrchu ar yr un soced. Cysylltwch ag injans y cleient y mae eich defnyddwyr yn eu rhedeg go iawn, gan gynnwys yr un trafferthus. Gwiriwch ddyrannu cyfeiriadau, DNS a wthir, un cymhwysiad sy’n bwysig, ac un llwybr a ddylai aros wedi’i rwystro. Rhaid i fachau cyfaddas redeg yng nghyd-destun breintiau a chyfundrefn ffeil go iawn y gwasanaeth, gan nad yw cragen root yn profi dim amdanynt.

Darllenwch y nodiadau rhyddhau am newidiadau ymddygiad, nid am nodweddion newydd yn unig. Mae diofynion seiffr a TLS yn symud rhwng fersiynau, a gall proffil sy’n dal i barsio fethu â llaw-gefnu. Os oes angen newidiadau proffil neu dystysgrif ar y diweddariad, cynlluniwch hynny’n gam ei hun yn hytrach na’i blygu i mewn i ddiweddariad y pecyn.

Trosglwyddwch unwaith, o lwybr y tu allan i’r twnnel

Dechreuwch y ffenestr o gonsol neu o rwydwaith rheoli nad yw’n tramwy’r gwasanaeth. Cadarnhewch fod defnyddwyr wedi’u hysbysu a bod ail weithredwr yn gwybod sut i droi’n ôl. Cymhwyswch y newid paratôl drwy ei berchennog, yna ailgychwynnwch gyda sudo systemctl restart [email protected] a dilynwch y cyfnodolyn gyda journalctl -u openvpn-server@office -b -f. Mae ail-lwytho’n ddigon pan fu newidiadau i ddiffiniadau’r uned yn unig; mae proffil newidiedig angen ailgychwyn y broses.

Disgwyliwch i bob cleient ailgysylltu, a disgwyliwch i rai sesiynau cymhwysiad beidio ag ailddechrau. Cydgysylltwch saib lân gyda’r llwythi gwaith na allant oddef hynny.

Derbyniwch neu trowch yn ôl, yna dywedwch wrth ddefnyddwyr beth sydd wedi newid

Mae derbyn yn golygu mewngofnodi newydd a gweithrediad go iawn a’r cyfyngiadau sydd dal mewn grym. Mae uned weithredol a llinell statws werdd yn ffeithiau proses. Os bydd y meini prawf yn methu o fewn y ffenestr, trowch yn ôl gyda’r dull paratôl, nid trwy adfer un ffeil a gobeithio; mae deuaidd neu bolisi gwasanaeth newidiedig yn goroesi adferiad ffurfweddiad. Cadwch unrhyw newid adalw neu awdurdodi a wnaed yn ystod y ffenestr fel nad yw’r troi’n ôl yn dad-wneud gwaith diogelwch.

Cofnodwch y fersiynau, y newidiadau proffil a chanlyniadau derbyn ar gyfer y gweithredwr nesaf, ymddeolwch y gwrandawr peilot, a dywedwch wrth ddefnyddwyr pa broffil i’w ddefnyddio nawr. Mae ffenestr sy’n gorffen heb y nodyn hwnnw’n cael ei hail-drafod yn y diweddariad nesaf.