OpenVPN-seadme marsruut: konfiguratsiooni omanik või käivituskript?
Ühe taaskäivituse üle elanud haru marsruut võib siiski kaduda pärast GUI-st salvestamist või püsivara uuendust. Võrrelge toetatud konfiguratsiooni omanikku plaastri kriptiga.
Lisate haru marsruudi, see töötab, ja siis eemaldab selle püsivara uuendus või veebiliidesest salvestamine. Kaks parandust tunduvad sel hetkel võrdselt mõistlikud: panna marsruut seadme toetatud konfiguratsiooniallikasse või lisada see käivituskriptist genereeritud faili. Nad käituvad nädala samamoodi ja lähevad teisel uuendusel lahku. See artikkel võrdleb, mida kumbki tegelikult omab.
Kaks kandidaati omavad erinevaid asju
Toetatud konfiguratsiooniallikas on kõik, mida seade käsitleb sisendina: GUI-väli, imporditud profiil, dokumenteeritud kliendipõhine kataloog, halduspaketi loetav seadete andmebaas. Genereeritud server.conf on väljund. Väljundi muutmine töötab seni, kuni generaator jookseb uuesti, ja see juhtub salvestamisel, taaskäivitamisel ja uuendamisel.
Kripti lähenemine plaastrib selle väljundi pärast generaatori lõppu. See on labori jaoks legitiimne tehnika ja see on harukontori jaoks vale vaikeväärtus, sest teeb marsruudi sõltuvaks tekstivastest, mitte dokumenteeritud väljast.
| Question | Supported config source | Post-generation script |
|---|---|---|
| Survives a GUI save | Yes | Only if the save does not regenerate the file |
| Survives a package upgrade | Usually, when the field is documented | No guarantee; the wrapper can be replaced |
| Supportable by the vendor | Yes | No |
| Obvious to the next admin | Yes, it is in the UI | No, it lives in a wrapper |
Mida seade uuesti genereerib, ja millal
Halduspaketid hoiavad seadeid tavaliselt andmebaasis või mallide komplektis ja genereerivad deemonikonfiguratsiooni käivitamisel. Veebiliidesest salvestamine kirjutab sageli kogu faili üle, mitte ei plaastri üht rida. Kui teie muudatus elas selles failis, on see nüüd kadunud, ja miski ei logi hoiatust, sest seadme vaatepunktist ei läinud midagi kaduma.
Käivitusümbristel on teine tõrkemoodus. grep teatud vahedega direktiivi järele lakkab pärast mallimuudatust sobimast ja kript ei tee vaikselt midagi. Hullemini, püsivara uuendus võib ümbrise asendada uue versiooniga, võttes plaastri kaasa. Siis on teil marsruut, mis eksisteeris aasta ja kadus hoolduse käigus, mida keegi marsruutimisega ei sidunud.
Mida peab toetatud omanik väljendama
Haru prefiks vajab kolme väidet, mitte ühte. Klient peab marsruudi õppima, server peab teadma, milline autenditud klient prefiksi omab, ja harupool peab saatma liikluse tagasi talle antud tunneliaadressile. OpenVPN-i mõistes tähendab see saadetud route, kliendiga seotud vastavat iroute ja tagasiteed teisel pool.
Siin eksitavad seadmete liidesed. Märkeruut sildiga „lubada klientidel pääseda serveri LAN-i“ kirjeldab liiklust serveri enda võrgu suunas. Teie haru on vastassuund: ühe kliendi taga olev võrk, serveripoolelt ligipääsetav. Sama silt ei tähenda selle toetust ja failis kehtiv direktiiv ei ole lubadus, et pakett selle säilitab.
Kui toetatud juhtimist pole
Mõnikord ei suuda paigaldatud väljaanne tõesti ühe partneri jaoks spetsiifilist marsruuti väljendada. Siis on ausad valikud teine lüüs, mida te kontrollite, või toetatud sait-sait-režiim mõlemas otsas. Mõlemad otsad peavad seda rääkima. Tooteleht, mis ütleb sait-sait, ei tee suvalist OpenVPN-profiili vahetatavaks teise protokolli tunneliga ja selle sidumise pealesurumine annab tavaliselt pooleldi ühendatud tunneli, mis näeb olekulehel hea välja.
Valige valik, mida suudate ühe lausega kirjeldada sellele, kes võrgu pärib. Kui vastus nõuab kripti tee ja tekstimustri mainimist, on disain juba habras.
Tehke kavatsus auditeeritavaks
Registreerige leping väljaspool seadet: tegelik kliendi identiteet, prefiks, tagasilüüs ja toetatud väli, mis igaüht neist annab. Eksportige konfiguratsioon toetatud mehhanismi kaudu, et ülesehitusel oleks viide, ja kontrollige teenust pärast uuesti ühendamist, taaskäivitamist ja uuendamist, mitte ainult pärast muudatust.
Võrrelge genereeritud tulemust selle kirjega, kui midagi katki läheb, selle asemel et taastada seletamata rida ja loota.OpenVPN 2.6 viide on koht, kus kinnitada, kuidas route ja iroute koostoimivad, enne kui liidesega vaidlema hakkate.
Kontrollnimekiri järgmiseks muudatuseks: nimetage omanik, esitage kolmeosaline leping, eksportige kavatsus ja testige uuesti pärast seadme enda elutsükli sündmusi, mitte pärast teie muudatust.