OpenVPN Access Server: genstart dæmonen eller anvend indstillingen

Der indsættes to kommandoer til det, der ligner den samme opgave på OpenVPN Access Server, og de gør forskellige ting. systemctl restart openvpnas stopper og starter hele produktet. sacli start rejser de interne tjenester, der læser den konfiguration, du netop har ændret. Valget mellem dem er ikke en smagssag: det afhænger af, hvad indstillingens egen dokumentation siger, om din session går gennem den server, du er ved at genstarte, og om du overhovedet kigger på det rigtige produkt.

To lag, én dæmon

Access Server kører som en enkelt systemd-enhed, openvpnas, og den dæmon overvåger de interne tjenester bag webgrænsefladen og VPN-lytterne. sacli er kommandolinjegrænsefladen til samme installation, på /usr/local/openvpn_as/scripts/sacli, og den kan starte, stoppe og forespørge disse interne komponenter uden at erstatte enheden.

Derfor findes begge kommandoer. En genstart af dæmonen kører alt igen, inklusive den proces, der afslutter klienttunneler. sacli start beder den allerede kørende dæmon om at rejse sine komponenter, så de læser den nye konfiguration, og det er hvad de fleste egenskabsændringer faktisk kræver.

Betingelse et: hvad indstillingens dokumentation siger

Læs siden for den indstilling, du ændrede, ikke for en du ændrede sidste måned. En egenskab skrevet via ConfigPut efterfølges normalt af sacli start, og det par er det dokumenterede anvendelsestrin. En ændring af adfærd på lytterniveau, eller noget siden beskriver som krævende en tjenestegenstart, er den klasse, hvor genstart af enheden er korrekt.

De to kommandoer kan ikke udskiftes, så fejlmåden ved at gætte er asymmetrisk. At bruge sacli start, når en fuld genstart var nødvendig, efterlader en gammel proces, der stadig betjener den forrige konfiguration, hvilket ser ud som om indstillingen blev ignoreret. At lave en fuld genstart, når sacli start ville gøre det, smider hver tilsluttet klient af uden grund.

Betingelse to: er din egen session inde i tunnelen

Hvis du administrerer Access Server over den VPN, den leverer, fjerner genstarten den forbindelse, der bærer din shell. Kommandoen kan fuldføres, efter din session dør, så du må gætte på, om det virkede. sacli start kan også afbryde en session kortvarigt af samme grund, når den komponent, der genstartes, håndterer din trafik.

Hold en ud-af-bånd-vej åben før begge kommandoer: en udbyderkonsol, en hypervisor-konsol eller en seriel session. Denne betingelse afgør, hvornår du kører kommandoen, ikke hvilken kommando, og det er den, der gør en ændring på to minutter til en nedetidsrapport.

Betingelse tre: er dette det produkt, du tror

Access Server er ikke Community OpenVPN. En community-installation kører enheder som openvpn@server eller openvpn-client@profile, med konfiguration i /etc/openvpn, og sacli findes ikke der. At genstarte hver enhed med openvpn i navnet på en delt vært er måden, hvorpå ubeslægtede tunneler går ned sammen.

Afgør før du rører noget: systemctl status openvpnas --no-pager svarer på, om Access Server er det, der kører, sacli status viser dens interne komponenter, og systemctl list-units --type=service viser enheder, hvis navne indeholder openvpn. Hvis den sidste kommando viser enheder med profilnavne, er du på community-produktet, og resten af dette gælder ikke for dig.

Anvend det, og verificér derefter ud over active

En enhed, der rapporterer active, har en kørende proces, hvilket ikke er det samme som en fungerende godkendelsesvej. Efter anvendelsestrinnet skal du tjekke sacli status for de komponenter, du forventede ville genstarte, bekræfte at værdien blev gemt med sacli ConfigQuery, og derefter køre et begrænset klientlogin mod en testkonto.

Slut af med noget på applikationsniveau: nå en privat ressource gennem tunnelen, ikke bare et ping til serverens offentlige adresse. Et handshake, der lykkes, mens den skubbede rute eller DNS-indstillingen er forkert, vil bestå enhver tjenestekontrol og stadig svigte den person, der rapporterede problemet.

udbyderens vejledning i tjenesteadministration er referencen for, hvilke operationer der hører til sacli, og den er værd at åbne, før du beslutter, at en genstart er det sikre valg.

Beslutningen i et gennemløb

Gå ned gennem disse fire linjer og stop ved den første, der passer:

• Indstillingssiden nævner sacli start, eller du har netop kørt ConfigPut: brug sacli start.
• Siden kræver en genstart, eller ændringen rammer lyttere snarere end egenskaber: brug systemctl restart openvpnas.
• Din shell kommer gennem denne server: sørg for konsoladgang først, og kør derefter den kommando, de to linjer ovenfor valgte.
• Verifikation: sacli status, ConfigQuery for værdien, et login, en privat ressource. Tjenestetilstand alene er ikke mållinjen.

To af de linjer er kontroller og to er handlinger, og det er pointen med rækkefølgen. Hvis du ikke kan svare på produktspørgsmålet, stop: kommandoen, du var ved at køre, hører til en anden installation, og den tunnel, du vælter, bliver ikke den, du mente.