Fra Access Server til Community OpenVPN: hvad skal genopbygges

Access Server og Community OpenVPN taler samme protokol og naesten intet andet pa samme made. Handshaket, cifferforhandlingen og tunnelens dataplan er kompatible, sa en klient kan ofte forbinde til begge uden at redigere sin profil. Forskellen er, hvem der ejer konfigurationen: det ene produkt leverer et administrationslag, der skriver og handhaever politik, mens det andet giver dig en konfigurationsfil og et saet hooks og forventer, at du beslutter.

Den forskel er migreringsplanen. Alt, hvad det gamle produkt besluttede pa dine vegne, skal blive en udtrykkelig beslutning et sted i den nye udrulning.

Hvor de to udrulninger holder op med at vaere udskiftelige

I Access Server ejer webadministrationsgrænsefladen brugere, grupper, rettigheder pr. bruger, certifikatudstedelse og den profilpakke, en person downloader. Daemonen nedenunder konfigureres af dette lag, sa den korende tjeneste er produktet af gemt tilstand, som du sjaeldent redigerer i handen. I Community OpenVPN er konfigurationsfilen tilstanden: den navngiver lytteren, certifikatmyndigheden, godkendelseshooket og hver pushet indstilling, og intet genskriver den for dig. Den samme TLS-maskine star derfor under to meget forskellige ejerskabsmodeller.

En kort kortlaegning gor kloften konkret. Brugere og grupper findes kun i den gamle database, indtil du genskaber dem. Profilpakker bliver en konfigurationsfil plus certifikater, du selv distribuerer. Rettigheder pr. bruger bliver direktiver i client-config-dir. Administrationsgrænsefladen bliver den proces, du vaelger til at udstede certifikater og redigere filer.

Skriv den kortlaegning ned, for du rorer en server. Hver raekke, du ikke kan udfylde, er en funktion, du er ved at tabe, og at tabe en i stilhed er maden, en migrering bliver et nedbrud to uger senere.

Identitet overfores ikke med certifikatfilerne

Certifikater fra den gamle myndighed kan parse korrekt i den nye tjeneste og stadig vaere den forkerte identitet, fordi det gamle produkt parrede dem med kontotilstand, som det nye ikke kan se. Beslut forst, om den nye udrulning godkender alene med certifikat, med et plugin, der nar PAM eller RADIUS, eller med en kombination, og kontroller derefter, at hver mulighed bevarer de egenskaber, du har brug for. Et delt certifikat uden identitet pr. bruger er en legitimationsoplysning til alle, der har det. Tilbagekaldelse skal ogsa virke fra dag et, hvilket i Community OpenVPN betyder en CRL-fil, som crl-verify refererer til, plus en proces, der gendanner den.

Planlaeg tilmelding for overgangen, ikke efter. Nye certifikater, en testet tilbagekaldelsesvej og en dokumenteret made at deaktivere en person er forudsætninger, ikke opfolgende arbejde. Hvis multifaktorgodkendelse kom fra det gamle produkts integration, navngiv erstatningen udtrykkeligt, fordi et plugin, der ikke er installeret, fejler lukket pa det vaerst taenkelige tidspunkt.

Ruter og navneoplosning folger den, der skriver konfigurationen

Ruter, DNS-indstillinger og fuldtunneladfaerd er pushede indstillinger i begge produkter, men kun det ene beregner dem for dig. I Community OpenVPN skriver du push-direktiverne selv, beslutter, om redirect-gateway horer pa serveren eller klienten, og bekraefter, at forwarding og NAT findes pa vaerten. Et afsluttet handshake fortæller dig intet om forwarding, adresseoversættelse eller de ruter, en klient faktisk fik.

Adfaerd pr. klient kraever client-config-dir plus en fil opkaldt efter klientens certifikat-common-name, og en site-til-site-peer kraever iroute-poster for praefikserne bag den. Staver du navnet forkert, ignoreres indstillingerne uden fejl. Test med en ikke-produktionsklient i sin egen adressepulje, og laes derefter den tildelte adresse, de givne ruter og de resolverindstillinger, den endte med.

Saet overgangen i raekkefolge, sa den gamle tjeneste kan vende tilbage

Kor den nye lytter pa en anden port eller adresse, og lad den gamle betjene trafik, mens du beviser erstatningen. To daemoner pa en socket er ikke en tilbagerulningsplan.

Flyt en gruppe ad gangen med egne certifikater, egen pulje og egne ruter, og ov returvejen i stedet for at opdage den under en haendelse. Tilbagerulning, der kun virker, hvis den nye tjeneste stoppes forst, er stadig tilbagerulning, men den skal testes, mens intet braender.

Til sidst: list de funktioner uden direkte aekvivalent, og beslut hver enkelts skaebne skriftligt: selvbetjent profildownload, rettighedsflag pr. bruger, selve administrationsgrænsefladen, rapportering om live-forbindelser. At erstatte dem med en dokumenteret manuel proces er et legitimt svar. At lade raekken sta tom er det ikke.

Arbejdet er faerdigt, nar en bruger, der aldrig har set den gamle portal, kan tilmelde sig, forbinde, na den tilsigtede interne adresse og blive rent tilbagekaldt. Alt for det punkt er forberedelse.