Planado de prizorga fenestro por OpenVPN sen perdi la gastiganton

Restartigi la VPN-servon finas ĉiun sesion, kiu uzas ĝin, do la fenestro devas esti konstruata ĉirkaŭ interparoloj, ne ĉirkaŭ la pakaĵmastrumilo. Uzantoj bezonas sufiĉan antaŭsciigon por fini delikatan laboron, kaj vi bezonas revenan vojon, kiu ne dependas de la tunelo, kiun vi baldaŭ haltigos. Ĉio alia en la lernolibro ekzistas por igi tiujn du faktojn regeblaj. Preterlasu ajnan el ili, kaj rutina ĝisdatigo fariĝas interrompo sen eliro.

La ordo sube estas intenca: ĉiu etapo produktas ion, kion la sekva etapo bezonas, kaj ajna etapo povas fini la ŝanĝon antaŭ ol ĝi komenciĝas.

Registru la servon, kiu ekzistas, antaŭ ol ŝanĝi ĝin

Legu la instalitan unuon, ne tiun, kiun vi memoras esti verkinta: systemctl cat [email protected] presas la unuon kaj ajnajn drop-in-ojn, kaj systemctl show [email protected] -p ExecStart -p User -p WorkingDirectory montras, kio efektive ruliĝas kaj sub kiu idento. Demandu la duumaĵon, kiun tiu unuo nomas, ĉar openvpn --version el ŝelo povas solviĝi al alia konstruaĵo. Notu la profilan vojon kaj ĉiun dosieron, al kiu ĝi referencas.

Rimarku ankaŭ la aŭskultajn ingojn: ss -lunp | grep 1194 diras al vi, kiun adreson kaj protokolon la demono posedas hodiaŭ. Se la respondo ne estas tio, kion la profilo sugestas, drop-in aŭ media dosiero superregas ĝin, kaj la ĝisdatigo heredos tiun surprizon.

Kunmetu restaŭran aron, kiun iu alia povus uzi

La restaŭra aro devas esti uzebla de kolego je la 03:00 sen via kunteksto. Inkluzivu la efektivan agordon kun ĉiu referencita dosiero, la fidindan kaj revokan materialon sub kontrolo de la PKI-posedanto, la laŭklientajn atribuojn kaj hokojn, kaj la precizajn pakaĵversiojn instalitajn hodiaŭ. Kopio de unu dosiernomo ne estas agordo. Konservu ĝin ie, kien la deĵora operatoro povas atingi sen la VPN.

Alirkontroloj validas ankaŭ por tiu aro, ĉar ĝi enhavas privatajn ŝlosilojn aŭ backend-akreditilojn. Ne rekonstruu la CA kaj ne reeldonu identojn nur ĉar pakaĵversio ŝanĝiĝis.

Provu sur pilota aŭskultanto kun reala kliento

Rulu la kandidatan eldonon sur aparta aŭskultanto kun propra havena kaj adresa plano, ne apud la produktada kopio sur la sama ingo. Konektu per la klientaj motoroj, kiujn viaj uzantoj efektive rulas, inkluzive la malkomfortan. Kontrolu adresan atribuon, puŝitan DNS, unu aplikaĵon, kiu gravas, kaj unu vojon, kiu devas resti blokita. Propraj hokoj devas ruliĝi en la reala privilegia kaj dosiersistema kunteksto de la servo, ĉar radika ŝelo pruvas nenion pri ili.

Legu la eldonajn notojn por kondutaj ŝanĝoj, ne nur por novaj funkcioj. Ciferaj kaj TLS-defaŭltoj moviĝas inter versioj, kaj profilo, kiu ankoraŭ analiziĝas, povas ankoraŭ malsukcesi manpremon. Se la ĝisdatigo bezonas profilajn aŭ atestilajn ŝanĝojn, planu tion kiel propran paŝon anstataŭ kunigi ĝin en la pakaĵan ĝisdatigon.

Transiru unufoje, de vojo ekster la tunelo

Komencu la fenestron de konzolo aŭ administra reto, kiu ne trapasas la servon. Konfirmu, ke uzantoj estis sciigitaj kaj ke dua operatoro scias kiel restarigi. Apliku la preparitan ŝanĝon tra ĝia posedanto, poste restartigu per sudo systemctl restart [email protected] kaj sekvu la protokolon per journalctl -u openvpn-server@office -b -f. Reŝargo sufiĉas, kiam ŝanĝiĝis nur unuaj difinoj; ŝanĝita profilo postulas restartigon de la procezo.

Atendu, ke ĉiu kliento rekonektiĝos, kaj atendu, ke kelkaj aplikaĵaj sesioj ne rekomenciĝos. Kunordigu puran paŭzon kun la laborŝarĝoj, kiuj ne toleras tion.

Akceptu aŭ restarigu, poste diru al uzantoj, kio ŝanĝiĝis

Akcepto estas freŝa ensaluto plus reala operacio plus la limigoj, kiuj ankoraŭ validas. Aktiva unuo kaj verda statuslinio estas faktoj pri la procezo. Se la kriterioj malsukcesas ene de la fenestro, restarigu per la preparita metodo, ne per restarigo de unu dosiero kaj espero; ŝanĝita duumaĵo aŭ serva politiko postvivas agordan restarigon. Konservu ajnan revokan aŭ rajtigan ŝanĝon faritan dum la fenestro, por ke la restarigo ne malfaru sekurecan laboron.

Registru la versiojn, profilan ŝanĝojn kaj akceptajn rezultojn por la sekva operatoro, emeritigu la pilotan aŭskultanton, kaj diru al uzantoj, kiun profilon uzi nun. Fenestro, kiu finiĝas sen tiu noto, estas rediskutata ĉe la sekva ĝisdatigo.