Απο το Access Server στο Community OpenVPN: τι πρεπει να ξαναχτιστει

Το Access Server και το Community OpenVPN μιλουν το ιδιο πρωτοκολλο και σχεδον τιποτα αλλο με τον ιδιο τροπο. Η χειραψια, η διαπραγματευση κρυπτογραφησης και το επιπεδο δεδομενων της σηραγγας ειναι συμβατα, οποτε ενας πελατης συχνα συνδεεται και με τα δυο χωρις να επεξεργαστει το προφιλ του. Η διαφορα ειναι ποιος κατεχει τη διαμορφωση: το ενα προϊον παρεχει στρωμα διαχειρισης που γραφει και επιβαλλει πολιτικη, το αλλο σας δινει αρχειο διαμορφωσης και μερικα αγκιστρα και περιμενει να αποφασισετε εσεις.

Αυτη η διαφορα ειναι το σχεδιο μεταναστευσης. Ο,τι αποφασισε το παλιο προϊον για λογαριασμο σας πρεπει να γινει ρητη αποφαση καπου στη νεα αναπτυξη.

Που οι δυο αναπτυξεις παυουν να ειναι εναλλαξιμες

Στο Access Server η διαδικτυακη διεπαφη διαχειρισης κατεχει χρηστες, ομαδες, δικαιωματα ανα χρηστη, εκδοση πιστοποιητικων και το πακετο προφιλ που κατεβαζει καποιος. Ο δαιμονας απο κατω διαμορφωνεται απο αυτο το στρωμα, οποτε η εκτελουμενη υπηρεσια ειναι προϊον αποθηκευμενης καταστασης που σπανια επεξεργαζεστε με το χερι. Στο Community OpenVPN το αρχειο διαμορφωσης ειναι η κατασταση: ονομαζει τον ακροατη, την αρχη πιστοποιητικων, το αγκιστρο ελεγχου ταυτοτητας και καθε επιλογη που προωθειται, και τιποτα δεν το ξαναγραφει για εσας. Η ιδια μηχανη TLS στεκεται επομενως κατω απο δυο πολυ διαφορετικα μοντελα ιδιοκτησιας.

Μια συντομη χαρτογραφηση κανει το κενο συγκεκριμενο. Χρηστες και ομαδες υπαρχουν μονο στην παλια βαση, ωσπου να τους ξαναδημιουργησετε. Τα πακετα προφιλ γινονται αρχειο διαμορφωσης και πιστοποιητικα που διανεμετε μονοι σας. Τα δικαιωματα ανα χρηστη γινονται οδηγιες μεσα στο client-config-dir. Η διεπαφη διαχειρισης γινεται οποια διαδικασια επιλεξετε για εκδοση πιστοποιητικων και επεξεργασια αρχειων.

Γραψτε αυτη τη χαρτογραφηση πριν αγγιξετε διακομιστη. Καθε γραμμη που δεν μπορειτε να συμπληρωσετε ειναι μια λειτουργια που προκειται να χασετε, και η σιωπηλη απωλεια μιας ειναι ο τροπος με τον οποιο μια μεταναστευση γινεται διακοπη δυο εβδομαδες αργοτερα.

Η ταυτοτητα δεν μεταφερεται με τα αρχεια πιστοποιητικων

Πιστοποιητικα απο την παλια αρχη μπορει να αναλυθουν σωστα στη νεα υπηρεσια και να ειναι ακομη λαθος ταυτοτητα, επειδη το παλιο προϊον τα ειχε ζευγαρωσει με κατασταση λογαριασμου που το νεο δεν βλεπει. Αποφασιστε πρωτα αν η νεα αναπτυξη ελεγχει ταυτοτητα μονο με πιστοποιητικο, με προσθετο που φτανει σε PAM η RADIUS, η με συνδυασμο, και μετα βεβαιωθειτε οτι καθε επιλογη διατηρει τις ιδιοτητες που χρειαζεστε. Ενα κοινoχρηστο πιστοποιητικο χωρις ταυτοτητα ανα χρηστη ειναι ενα διαπιστευτηριο για ολους οσοι το εχουν. Η ανακληση πρεπει επισης να λειτουργει απο την πρωτη μερα, που στο Community OpenVPN σημαινει αρχειο CRL στο οποιο παραπεμπει το crl-verify συν μια διαδικασια που το αναπαραγει.

Σχεδιαστε την εγγραφη πριν απο τη μεταβαση, οχι μετα. Νεα πιστοποιητικα, δοκιμασμενη διαδρομη ανακλησης και τεκμηριωμενος τροπος απενεργοποιησης ενος ατομου ειναι προαπαιτουμενα, οχι επακολουθη εργασια. Αν ο ελεγχος πολλαπλων παραγοντων προηλθε απο την ενσωματωση του παλιου προϊοντος, ονομαστε ρητα την αντικατασταση, γιατι ενα προσθετο που δεν εχει εγκατασταθει αποτυγχανει κλειστα στη χειροτερη στιγμη.

Οι διαδρομες και η επιλυση ονοματων ακολουθουν αυτον που γραφει τη διαμορφωση

Οι διαδρομες, οι ρυθμισεις DNS και η συμπεριφορα πληρους σηραγγας ειναι προωθουμενες επιλογες και στα δυο προϊοντα, αλλα μονο το ενα τις υπολογιζει για εσας. Στο Community OpenVPN γραφετε εσεις τις οδηγιες push, αποφασιζετε αν το redirect-gateway ανηκει στον διακομιστη η στον πελατη, και επιβεβαιωνετε οτι υπαρχει προωθηση και NAT στον κεντρικο υπολογιστη. Μια ολοκληρωμενη χειραψια δεν σας λεει τιποτα για προωθηση, μεταφραση διευθυνσεων η τις διαδρομες που ελαβε πραγματικα ο πελατης.

Η συμπεριφορα ανα πελατη απαιτει client-config-dir και αρχειο με το κοινο ονομα του πιστοποιητικου του πελατη, και ενας ομοτιμος τοποθεσιας-σε-τοποθεσια απαιτει καταχωρισεις iroute για τα προθεματα πισω του. Αν κανετε λαθος στην ονομασια, οι επιλογες αγνοουνται χωρις σφαλμα. Δοκιμαστε με εναν πελατη εκτος παραγωγης στη δικη του δεξαμενη διευθυνσεων, και μετα διαβαστε τη διευθυνση που του δοθηκε, τις διαδρομες που πηρε και τις ρυθμισεις του resolver με τις οποιες κατεληξε.

Σειριοποιηστε τη μεταβαση ωστε η παλια υπηρεσια να μπορει να επιστρεψει

Τρεξτε τον νεο ακροατη σε αλλη θυρα η διευθυνση και κρατηστε τον παλιο να εξυπηρετει κινηση οσο αποδεικνυετε την αντικατασταση. Δυο δαιμονες σε μια υποδοχη δεν ειναι σχεδιο επαναφορας.

Μετακινηστε μια ομαδα τη φορα, με δικα της πιστοποιητικα, δικη της δεξαμενη και δικες της διαδρομες, και δοκιμαστε τη διαδρομη επιστροφης αντι να την ανακαλυψετε σε περιστατικο. Η επαναφορα που λειτουργει μονο αν σταματησει πρωτα η νεα υπηρεσια ειναι ακομη επαναφορα, αλλα πρεπει να δοκιμαστει οσο δεν καιγεται τιποτα.

Τελος, απαριθμηστε τις λειτουργιες χωρις αμεσο ισοδυναμο και αποφασιστε τη μοιρα καθεμιας γραπτως: ληψη προφιλ αυτοεξυπηρετησης, σημαιες δικαιωματων ανα χρηστη, η ιδια η διεπαφη διαχειρισης, αναφορες ζωντανων συνδεσεων. Η αντικατασταση τους με τεκμηριωμενη χειροκινητη διαδικασια ειναι νομιμη απαντηση. Το να αφησετε τη γραμμη κενη δεν ειναι.

Η δουλεια τελειωνει οταν ενας χρηστης που δεν ειδε ποτε την παλια πυλη μπορει να εγγραφει, να συνδεθει, να φτασει την προβλεπομενη εσωτερικη διευθυνση και να ανακληθει καθαρα. Ο,τι προηγειται ειναι προετοιμασια.