OpenVPN-agordoj sur la enkursigilo revenas post restartiĝo: riparu la generatoron

Firmaro sur konsuma enkursigilo aŭ NAS ofte rekonstruas sian OpenVPN-agordon ĉe ĉiu starto, do direktivo, kiun vi aldonas, postvivas ĝuste ĝis la sekva praŝarĝo. La sama validas por ŝlosiloj entajpitaj en retan formularon, kie la konservita valoro povas reveni fuŝita post konservo. Neniu el tiuj simptomoj signifas, ke la ŝanĝo estis malakceptita. Ĝi signifas, ke la redakto eniris dosieron, kiun la firmaro traktas kiel eligon, kaj ke la daŭra loko estas unu paŝon pli frue en la praŝarĝa sinsekvo.

Kial la redaktita dosiero estas regenerata

Starta skripto kunmetas la servilan agordon el ŝablono kaj poste lanĉas la demonon, kio faras la eltiritan dosieron konstruan artefakton anstataŭ fonto. Ĉio aldonita post la starto estas nevidebla por la sekva rulo de tiu skripto. La dua ŝablono estas pli subtila: ŝlosilaj kaj atestilaj enigoj en la reta interfaco estas konservataj en eskapita formo, kaj konservi la formularon povas puŝi tiun eskapitan tekston en la dosieron, kiun la demono legas. Ĉiukaze la eltirita agordo estas la malĝusta loko por daŭra ŝanĝo.

Rigardu, kion la praŝarĝa sinsekvo skribas kaj kiam ĝi skribas ĝin. La respondo preskaŭ ĉiam estas skripto en la init aŭ aŭtostarta dosierujo de la firmaro.

Enmetu la direktivon tie, kie la skripto konstruas la dosieron

QTS-aparatoj regeneras la OpenVPN-servilan agordon ene de la init-skripto, kiu startigas la demonon, do la redakto devas okazi tie. Aldonu la aldonon tuj antaŭ la starta komando anstataŭ redakti la generitan dosieron.

sed -i '/daemon_mgr/i echo client-config-dir clientconfig >>/etc/openvpn/server.conf' /etc/init.d/vpn_openvpn.sh
grep -c client-config-dir /etc/openvpn/server.conf

Ankru la enmeton al komando, kiu ne moviĝos, ĉar linnumeroj ŝanĝiĝas inter konstruoj. Ĉar la init-skripto mem estas anstataŭigata dum praŝarĝo, la ŝanĝo devas esti reeldonita el la aŭtostarta hoko de la firmaro ĉiufoje, kiam la sistemo startas. Post unu restartiĝo nombru la aperojn en la generita dosiero: unu linio signifas, ke la flikaĵo funkciis, dum du signifas, ke la hoko ruliĝas pli ol unufoje. Esploru la duoblan rulon aparte, ĉar ĝi ne estas la sama misfunkcio kiel ŝanĝo, kiu malaperis.

Riparu formularon, kiu konservis eskitajn ŝlosilojn

Sur paĝoj laŭstile Asus la atestilaj kaj ŝlosilaj kampoj montras eskapitan tekston, kaj konservo post nerilata ĝustigo povas reskribi tiujn entojn sur la diskon. Laboru el malĉifrita kopio kaj konservu nur unufoje, kiam ĉiuj redaktoj pretas.

openssl dhparam -out dh2048.pem 2048
grep -n "BEGIN DH PARAMETERS" dh2048.pem

Kiam vi anstataŭigas novan parametraron, algluu nur la base64-ŝarĝon, se la etikedo petas la korpon de la ŝlosilo, kaj konservu la armilajn liniojn nur kiam la kampo atendas plenan PEM-blokon. Savi paĝon jam konservitan en ĝia eskapita formo kutime signifas malplenigi la tuŝitajn enigkampojn kaj apliki, kio lasas la firmaron rekonstrui ilin. Generu ion ajn super 2048 bitoj sur laborejo, ĉar la entropia provizo de la enkursigilo faras la operacion malrapida kaj foje nefidinda. Konservu la parametran dosieron ie, kien vi povas atingi post fabrika restarigo.

Rekontrolu post ĝisdatigoj

Firmaraj ĝisdatigoj anstataŭigas init-skriptojn kaj povas viŝi la aŭtostartan dosierujon, do la flikaĵo devas esti reinstalita kaj retestita. Komparu la regeneritan dosieron kun la kopio, kiun vi konservis, kaj konfirmu, ke la direktivo ĉeestas ĝuste unufoje. Valoro videbla en la reta interfaco ne estas pruvo, ke la demono ricevis ĝin, ĉar la paĝo legas konservitajn kampojn. Skribu la flikan komandon kaj la firmaran version en la prizorgan notaron, por ke la sekva ĝisdatigo portu ilin antaŭen.

Poste konektu klienton kaj legu la servilan protokolon por la puŝita opcio. Agordo, kiu iam ekzistis nur en formularo, estas agordo, kiun neniu testis.