De Access Server al Community OpenVPN: kion oni devas rekonstrui

Access Server kaj Community OpenVPN parolas la saman protokolon kaj preskau nenion alian same. La manpremo, la chifra intertraktado kaj la datena ebeno de la tunelo estas kongruaj, do kliento ofte povas konektighi al ambau sen redakti sian profilon. La diferenco estas kiu posedas la agordon: unu produkto liveras administran tavolon kiu skribas kaj devigas politikon, dum la alia donas al vi agordan dosieron kaj aron da hokoj kaj atendas ke vi decidas.

Tiu distingo estas la migra plano. Chio, kion la malnova produkto decidis por vi, devas farighi eksplicita decido ie en la nova deplojo.

Kie la du deplojoj chesas esti intershangheblaj

En Access Server la reta administra interfaco posedas uzantojn, grupojn, permesojn por uzanto, atestilan eldonadon kaj la profilan pakon kiun homo elshutas. La demono sube estas agordata de tiu tavolo, do la funkcianta servo estas produkto de konservita stato, kiun vi malofte redaktas permane. En Community OpenVPN la agorda dosiero estas la stato: ghi nomas la auskultanton, la atestilan autoritaton, la autentigan hokon kaj chiun pushatan opcion, kaj nenio reskribas ghin por vi. La sama TLS-mashinaro do staras sub du tre malsamaj posedmodeloj.

Mallonga mapado konkretigas la brechon. Uzantoj kaj grupoj ekzistas nur en la malnova datumbazo ghis vi rekreas ilin. Profilaj pakoj farighas agorda dosiero plus atestiloj, kiujn vi mem disdonas. Permesoj por uzanto farighas direktivoj ene de client-config-dir. La administra interfaco farighas kiu ajn procezo, kiun vi elektas por eldoni atestilojn kaj redakti dosierojn.

Skribu tiun mapadon antau ol tushi servilon. Chiu vico, kiun vi ne povas plenigi, estas funkcio, kiun vi perdos, kaj silente perdi unu estas la maniero kiel migrado farighas interrompo du semajnojn poste.

Identeco ne translokighas kun la atestilaj dosieroj

Atestiloj de la malnova autoritato povas esti analizataj ghuste en la nova servo kaj tamen esti la malghusta identeco, char la malnova produkto parigis ilin kun konta stato, kiun la nova ne vidas. Unue decidu chu la nova deplojo autentigas nur per atestilo, per kromajho kiu atingas PAM au RADIUS, au per kombinajho, poste kontrolu ke chiu opcio konservas la ecojn, kiujn vi bezonas. Komuna atestilo sen identeco por uzanto estas unu akreditajho por chiuj, kiuj ghin havas. Revokado ankau devas funkcii de la unua tago, kio en Community OpenVPN signifas CRL-dosieron referencatan de crl-verify plus procezon, kiu regeneras ghin.

Planu la alighon antau la transiro, ne poste. Novaj atestiloj, provita revoka vojo kaj dokumentita maniero malshalti unu personon estas antaukondichoj, ne posta laboro. Se plurlasta autentigo venis el la integrigo de la malnova produkto, nomu la anstatauajhon eksplicite, char kromajho ne instalita malsukcesas fermite en la plej malbona momento.

Itineroj kaj nomrezolucio sekvas la skribanton de la agordo

Itineroj, DNS-agordoj kaj konduto de plena tunelo estas pushatj opcioj en ambau produktoj, sed nur unu el ili kalkulas ilin por vi. En Community OpenVPN vi mem skribas la pushajn direktivojn, decidas chu redirect-gateway apartenas al la servilo au al la kliento, kaj konfirmas ke plusendado kaj NAT ekzistas sur la gastiganto. Finita manpremo diras al vi nenion pri plusendado, adresa tradukado au la itineroj, kiujn kliento efektive ricevis.

Konduto por kliento postulas client-config-dir plus dosieron nomatan lau la komuna nomo de la klienta atestilo, kaj samtavola partnero postulas iroute-rikordojn por la prefiksoj malantau ghi. Se vi eraras pri la nomado, la opcioj estas ignorataj sen eraro. Testu kun unu neprodukta kliento en ghia propra adresaro, poste legu la aldonitan adreson, la donitajn itinerojn kaj la solvilajn agordojn, kun kiuj ghi finighis.

Ordigi la transiron tiel, ke la malnova servo povu reveni

Funkciigu la novan auskultanton sur alia pordo au adreso, kaj lasu la malnovan servi trafikon dum vi pruvas la anstatauajhon. Du demonoj sur unu ingo ne estas retropasha plano.

Movu unu grupon samtempe, kun ghiaj propraj atestiloj, ghia propra adresaro kaj ghiaj propraj itineroj, kaj ekzercu la revenan vojon anstatau malkovri ghin dum incidento. Retropasho, kiu funkcias nur se la nova servo unue haltas, ankorau estas retropasho, sed ghi devas esti testata dum nenio brulas.

Fine, listigu la funkciojn sen rekta ekvivalento kaj decidu la sorton de chiu skribe: memserva profila elshuto, permesaj flagoj por uzanto, la administra interfaco mem, raportoj pri vivaj konektoj. Anstatauigi ilin per dokumentita permana procezo estas legitima respondo. Lasi la vicon malplena ne estas.

La laboro finighas kiam uzanto, kiu neniam vidis la malnovan portalon, povas alighi, konektighi, atingi la celitan internan adreson kaj esti pure revokita. Chio antau tiu punkto estas preparado.