Planlægning af et OpenVPN-vedligeholdelsesvindue uden at miste værten

Genstart af VPN-tjenesten afslutter hver session, der bruger den, så vinduet skal bygges omkring samtaler i stedet for omkring pakkehåndteringen. Brugerne skal have varsel nok til at færdiggøre følsomt arbejde, og du skal have en vej tilbage, der ikke afhænger af den tunnel, du er ved at stoppe. Alt andet i playbooken findes for at gøre de to kendsgerninger håndterbare. Spring en af dem over, og en rutineopdatering bliver et udfald uden udgang.

Rækkefølgen nedenfor er bevidst: hvert trin producerer noget, det næste trin har brug for, og ethvert trin kan afslutte ændringen, før den begynder.

Registrér den tjeneste, der eksisterer, før du ændrer den

Læs den installerede unit frem for den, du husker at have skrevet: systemctl cat [email protected] udskriver uniten og eventuelle drop-ins, og systemctl show [email protected] -p ExecStart -p User -p WorkingDirectory viser, hvad der faktisk kører, og som hvem. Spørg den binære fil, som uniten angiver, fordi openvpn --version fra en skal kan pege på et andet build. Notér profilens sti og hver fil, den refererer til.

Læg også mærke til de lyttende sockets: ss -lunp | grep 1194 fortæller, hvilken adresse og protokol daemonen ejer i dag. Hvis svaret ikke er det, profilen antyder, er det en drop-in eller en miljøfil, der tilsidesætter det, og opgraderingen arver den overraskelse.

Saml et gendannelsessæt, som en anden kan bruge

Gendannelsessættet skal kunne bruges af en kollega klokken 03:00 uden din kontekst. Medtag den effektive konfiguration med hver refereret fil, tillids- og tilbagekaldelsesmaterialet under PKI-ejerens kontrol, tildelinger og hooks for hver klient samt de præcise pakkeversioner, der er installeret i dag. En kopi af et filnavn er ikke en konfiguration. Opbevar det et sted, hvor den vagthavende operatør kan nå det uden VPN’en.

Adgangskontroller gælder også for det sæt, fordi det indeholder private nøgler eller backend-legitimationsoplysninger. Genopbyg ikke CA’en, og genudsted ikke identiteter, bare fordi en pakkeversion har ændret sig.

Øv dig på en pilotlytter med en rigtig klient

Kør kandidatudgivelsen på en separat lytter med sin egen port- og adresseplan, ikke ved siden af produktionsinstansen på samme socket. Forbind med de klient-motorer, dine brugere faktisk kører, inklusive den besværlige. Kontrollér adressetildeling, pushet DNS, én applikation, der betyder noget, og én sti, der skal forblive blokeret. Brugerdefinerede hooks skal køre i tjenestens reelle privilegie- og filsystemskontekst, fordi en root-skal ikke beviser noget om dem.

Læs udgivelsesnoterne for adfærdsændringer, ikke kun for nye funktioner. Standarder for cipher og TLS flytter sig mellem versioner, og en profil, der stadig kan parses, kan stadig fejle et handshake. Hvis opgraderingen kræver profil- eller certifikatændringer, så planlæg det som eget trin i stedet for at pakke det ind i pakkeopdateringen.

Skift over én gang, fra en sti uden for tunnelen

Start vinduet fra en konsol eller et administrationsnetværk, der ikke går gennem tjenesten. Bekræft, at brugerne er informeret, og at en anden operatør ved, hvordan man ruller tilbage. Anvend den forberedte ændring gennem dens ejer, og genstart derefter med sudo systemctl restart [email protected] og følg journalen med journalctl -u openvpn-server@office -b -f. Et reload er nok, når kun unit-definitioner er ændret; en ændret profil kræver, at processen genstartes.

Forvent, at hver klient genopretter forbindelse, og forvent, at nogle applikationssessioner ikke genoptages. Koordinér en ren pause med de arbejdsbelastninger, der ikke kan tåle det.

Accepter eller rul tilbage, og fortæl derefter brugerne, hvad der er ændret

Accept er et nyt login plus en rigtig operation plus de begrænsninger, der stadig gælder. En aktiv unit og en grøn statuslinje er fakta om processen. Hvis kriterierne fejler inden for vinduet, rul tilbage med den forberedte metode, ikke ved at gendanne en enkelt fil og håbe; en ændret binær eller tjenestepolitik overlever en gendannelse af konfigurationen. Bevar enhver tilbagekaldelses- eller autorisationsændring, der blev foretaget i vinduet, så tilbagerulningen ikke fortryder sikkerhedsarbejde.

Notér versionerne, profilændringerne og acceptresultaterne til den næste operatør, pensionér pilotlytteren, og fortæl brugerne, hvilken profil de skal bruge nu. Et vindue, der slutter uden den note, bliver genforhandlet ved næste opdatering.