Access Serverist Community OpenVPNini: mida tuleb uuesti üles ehitada

Access Server ja Community OpenVPN räägivad sama protokolli ja peaaegu mitte milleski muus ühtemoodi. Kätlus, šifrite läbirääkimine ja tunneli andmetasand on ühilduvad, nii et klient saab sageli mõlemaga ühenduda ilma profiili muutmata. Erinevus on selles, kellele konfiguratsioon kuulub: üks toode toob halduskihi, mis kirjutab ja rakendab poliitikat, teine annab sulle konfiguratsioonifaili ja hulga konksusid ning ootab, et otsustad ise.

See erinevus ongi migratsiooniplaan. Kõik, mida vana toode sinu eest otsustas, peab uues juurutuses kuskil selgeks otsuseks saama.

Kus kaks juurutust lakkavad olemast vahetatavad

Access Serveris kuuluvad veebihaldusliidesele kasutajad, grupid, kasutajapõhised õigused, sertifikaatide väljastamine ja profiilipakett, mille inimene alla laeb. Alumist daemonit konfigureerib see kiht, seega on töötav teenus salvestatud oleku tulemus, mida sa käsitsi harva muudad. Community OpenVPNis on konfiguratsioonifail ise olek: see nimetab kuulaja, sertifitseerimisasutuse, autentimiskonksu ja iga pushitud valiku ning miski ei kirjuta seda sinu eest ümber. Seega seisab sama TLS-masinavärk kahe väga erineva omandimudeli all.

Lühike vastendus teeb vahe konkreetseks. Kasutajad ja grupid eksisteerivad ainult vanas andmebaasis, kuni sa need uuesti lood. Profiilipaketid muutuvad konfiguratsioonifailiks pluss sertifikaatideks, mida jagad ise. Kasutajapõhised õigused muutuvad direktiivideks client-config-dir sees. Haldusliidesest saab mis tahes protsess, mille valid sertifikaatide väljastamiseks ja failide muutmiseks.

Kirjuta see vastendus üles enne, kui serverit puudutad. Iga rida, mida sa täita ei suuda, on funktsioon, mille sa kohe kaotad, ja vaikne kaotamine on see, kuidas migratsioonist saab kaks nädalat hiljem katkestus.

Identiteet ei kandu sertifikaadifailidega üle

Vana asutuse sertifikaadid võivad uues teenuses korrektselt parsida ja olla ikkagi vale identiteet, sest vana toode sidus need kontoolekuga, mida uus ei näe. Otsusta esmalt, kas uus juurutus autendib ainult sertifikaadiga, pluginaga, mis jõuab PAM-i või RADIUSeni, või nende kombinatsiooniga, ja kontrolli, et iga valik säilitab vajalikud omadused. Jagatud sertifikaat ilma kasutajapõhise identiteedita on üks volitus kõigile, kellel see on. Tühistamine peab töötama esimesest päevast, mis Community OpenVPNis tähendab crl-verify poolt viidatud CRL-faili pluss protsessi, mis selle uuesti genereerib.

Planeeri liitumine enne üleminekut, mitte pärast. Uued sertifikaadid, testitud tühistamistee ja dokumenteeritud viis ühe inimese keelamiseks on eeldused, mitte järeltöö. Kui mitmefaktoriline autentimine tuli vana toote integraatsioonist, nimeta asendus selgelt, sest paigaldamata plugin ebaõnnestub kõige halvemal hetkel suletud olekus.

Marsruutimine ja nimede lahendamine järgivad konfiguratsiooni kirjutajat

Marsruudid, DNS-seaded ja täistunneli käitumine on mõlemas tootes pushitud valikud, kuid ainult üks arvutab need sinu eest. Community OpenVPNis kirjutad push-direktiivid ise, otsustad, kas redirect-gateway kuulub serverile või kliendile, ja kinnitad, et edastamine ja NAT on hostis olemas. Lõpetatud kätlus ei ütle sulle midagi edastamise, aadressitõlke ega selle kohta, millised marsruudid klient tegelikult sai.

Kliendipõhine käitumine nõuab client-config-diri pluss faili, mis on nimetatud kliendi sertifikaadi common name järgi, ja saidi-ja-saidi partner vajab iroute kirjeid selle taga olevate prefiksite jaoks. Kui nimed on valed, jäetakse valikud veateateta tähelepanuta. Testi ühe mitteproduktsiooni kliendiga oma aadressibasseinis, seejärel loe, milline aadress talle anti, millised marsruudid talle anti ja milliste resolveriseadetega ta lõpetas.

Järjesta üleminek nii, et vana teenus saab naasta

Käivita uus kuulaja teisel pordil või aadressil ja hoia vana liiklust teenindamas, kuni tõestad asendust. Kaks daemonit ühes soklis ei ole tagasipöördumise plaan.

Liiguta üks grupp korraga, oma sertifikaatide, oma basseini ja oma marsruutidega, ja harjuta naasmisteed, mitte ei avasta seda intsidendi ajal. Tagasipöördumine, mis töötab ainult siis, kui uus teenus enne peatada, on ikka tagasipöördumine, kuid seda tuleb testida, kui miski ei põle.

Lõpuks loetle funktsioonid, millel pole otsest vastet, ja otsusta igaühe saatus kirjalikult: iseteeninduslik profiili allalaadimine, kasutajapõhised õiguslipud, haldusliides ise, reaalajas ühenduste aruandlus. Nende asendamine dokumenteeritud käsitsiprotsessiga on legitiimne vastus. Rea tühjaks jätmine ei ole.

Töö on tehtud siis, kui kasutaja, kes vana portaali kunagi ei näinud, saab liituda, ühenduda, jõuda kavandatud sisemise aadressini ja puhtalt tühistada. Kõik enne seda on ettevalmistus.