OpenVPN-aparata itinero: agordposedanto aŭ starta skripto?
Filia itinero, kiu postvivas unu restarigon, tamen povas malaperi post konservo en la GUI aŭ firmvara ĝisdatigo. Komparu la subtenatan agordposedanton kun flika skripto.
Vi aldonas filian itineron, ĝi funkcias, kaj poste firmvara ĝisdatigo aŭ konservo el la reta fasado forigas ĝin. Du riparoj aspektas same raciaj en tiu momento: meti la itineron en la subtenatan agordan fonton de la aparato, aŭ aldoni ĝin al la generita dosiero el starta skripto. Ili kondutas same dum unu semajno kaj disiĝas ĉe la dua ĝisdatigo. Ĉi tiu artikolo komparas, kion ĉiu el ili efektive posedas.
La du kandidatoj posedas malsamajn aferojn
La subtenata agorda fonto estas ĉio, kion la aparato traktas kiel enigon: GUI-kampo, importita profilo, dokumentita dosierujo por kliento, agorda datumbazo, kiun legas la administra pako. La generita server.conf estas eligo. Redakti eligon funkcias ĝis la generatoro denove ruliĝos, kio okazas ĉe konservo, ĉe restarigo kaj ĉe ĝisdatigo.
La skripta aliro flikas tiun eligon post kiam la generatoro finiĝas. Ĝi estas legitima tekniko por laboratorio, kaj ĝi estas la malĝusta defaŭlto por filia oficejo, ĉar ĝi igas la itineron dependa de teksta kongruo anstataŭ de dokumentita kampo.
| Question | Supported config source | Post-generation script |
|---|---|---|
| Survives a GUI save | Yes | Only if the save does not regenerate the file |
| Survives a package upgrade | Usually, when the field is documented | No guarantee; the wrapper can be replaced |
| Supportable by the vendor | Yes | No |
| Obvious to the next admin | Yes, it is in the UI | No, it lives in a wrapper |
Kion la aparato regeneras, kaj kiam
Administraj pakoj kutime tenas agordojn en datumbazo aŭ aro da ŝablonoj kaj generas la konfiguron de la demono ĉe starto. Konservo el la reta fasado ofte reskribas la tutan dosieron anstataŭ fliki unu linion. Se via ŝanĝo vivis en tiu dosiero, ĝi nun malaperis, kaj nenio protokolas averton, ĉar el la vidpunkto de la aparato nenio perdiĝis.
Startaj ĉirkaŭvolvaĵoj havas duan malsukcesan reĝimon. grep por direktivo kun aparta interspaco ĉesas kongrui post ŝanĝo de ŝablono, kaj la skripto silente faras nenion. Pli malbone, firmvara ĝisdatigo povas anstataŭigi la ĉirkaŭvolvaĵon per nova versio kaj forporti la flikaĵon. Tiam vi havas itineron, kiu ekzistis dum jaro kaj malaperis dum bontenado, kiun neniu ligis al enkursigado.
Kion la subtenata posedanto devas esprimi
Filia prefikso bezonas tri asertojn, ne unu. La kliento devas lerni la itineron, la servilo devas scii, kiu aŭtentigita kliento posedas la prefikson, kaj la filia flanko devas resendi trafikon al la tunela adreso, kiun ĝi ricevis. En OpenVPN-termoj tio signifas puŝitan route, kongruan iroute ligitan al la kliento, kaj revenan vojon ĉe la alia flanko.
Ĉi tie la fasadoj de aparatoj misgvidas. Markobutono etikedita «permesi al klientoj aliri la LAN de la servilo» priskribas trafikon al la propra reto de la servilo. Via filio estas la kontraŭa direkto: reto malantaŭ unu kliento, atingebla de la servila flanko. La sama etikedo ne implicas subtenon por tio, kaj valida direktivo en dosiero ne estas promeso, ke la pako konservos ĝin.
Kiam mankas subtenata regilo
Foje la instalita eldono vere ne povas esprimi itineron specifan por unu samtavolano. Tiam la honestaj elektoj estas alia enirejo, kiun vi kontrolas, aŭ subtenata reĝimo de loko-al-loko ĉe ambaŭ finoj. Ambaŭ finoj devas paroli ĝin. Produkta paĝo, kiu diras loko-al-loko, ne igas arbitran OpenVPN-profilon interŝanĝebla kun la tunelo de alia protokolo, kaj devigi tiun parigon kutime produktas duone ligitan tunelon, kiu aspektas bone sur statusa paĝo.
Elektu la opcion, kiun vi povas priskribi per unu frazo al tiu, kiu heredos la reton. Se la respondo postulas mencii skriptan vojon kaj tekstan ŝablonon, la dezajno jam estas fragila.
Igu la intencon aŭdebla
Registru la kontrakton ekster la aparato: efektiva klienta identeco, prefikso, revena enirejo, kaj la subtenata kampo, kiu liveras ĉiun el ili. Eksportu la konfiguron per la subtenata mekanismo, por ke rekonstruo havu referencon, kaj kontrolu la servon post rekonekto, restarigo kaj ĝisdatigo anstataŭ nur post la ŝanĝo.
Komparu la generitan rezulton kun tiu registro, kiam io rompiĝas, anstataŭ restarigi neklarigitan linion kaj esperi.referenco de OpenVPN 2.6 estas la loko por konfirmi, kiel route kaj iroute interagas antaŭ ol vi disputos kun fasado.
Kontrollisto por la sekva ŝanĝo: nomu la posedanton, deklaru la tripartan kontrakton, eksportu la intencon, kaj retestu post la propraj vivciklaj eventoj de la aparato anstataŭ post via redakto.