OpenVPN hooldusakna planeerimine hosti kaotamata

VPN-teenuse taaskäivitamine lõpetab iga sessiooni, mis seda kasutab, seega tuleb aken ehitada vestluste ümber, mitte paketihalduri ümber. Kasutajad vajavad piisavalt hoiatust, et tundlik töö lõpetada, ja sina vajad tagasiteed, mis ei sõltu tunnelist, mille kohe peatad. Kõik muu mänguraamatus on selleks, et need kaks fakti oleksid juhitavad. Jäta kumbki vahele ja rutiinne uuendus muutub katkestuseks, millel pole väljapääsu.

Järjekord allpool on meelega valitud: iga etapp loob midagi, mida järgmine vajab, ja iga etapp võib muudatuse lõpetada enne, kui see algab.

Fikseeri olemasolev teenus enne, kui seda muudad

Loe paigaldatud unitit, mitte seda, mille kirjutasid mälu järgi: systemctl cat [email protected] trükib uniti ja kõik drop-inid ning systemctl show [email protected] -p ExecStart -p User -p WorkingDirectory näitab, mis tegelikult jookseb ja millise identiteedi all. Küsitle binaari, mille see unit nimetab, sest kestast käivitatud openvpn --version võib viidata teisele buildile. Kirjuta üles profiili tee ja iga fail, millele see viitab.

Pööra tähelepanu ka kuulavatele socketitele: ss -lunp | grep 1194 ütleb, milline aadress ja protokoll on daemonil täna. Kui vastus ei ole see, mida profiil vihjab, siis kirjutab selle üle drop-in või keskkonnafail ja uuendus pärib selle üllatuse.

Koosta taastamiskomplekt, mida keegi teine saaks kasutada

Taastamiskomplekt peab olema kolleegile kell 03:00 kasutatav ilma sinu kontekstita. Lisa kehtiv konfiguratsioon koos iga viidatud failiga, PKI omaniku kontrolli all olev usaldus- ja tühistamismaterjal, kliendipõhised määramised ja hookid ning täpsed täna paigaldatud paketiversioonid. Ühe failinime koopia ei ole konfiguratsioon. Hoia seda kohas, kuhu valveoperaator pääseb ilma VPN-ita.

Juurdepääsukontrollid kehtivad ka selle komplekti kohta, sest see sisaldab privaatvõtmeid või backendi mandaate. Ära ehita CA-d uuesti ega väljasta identiteete uuesti ainult sellepärast, et paketiversioon muutus.

Harjuta pilootkuulajal päris kliendiga

Käivita kandidaatväljaanne eraldi kuulajal oma pordi- ja aadressiplaaniga, mitte tootmisinstantsi kõrval samal socketil. Ühenda klientmootoritega, mida sinu kasutajad tegelikult kasutavad, kaasa arvatud see tülikas. Kontrolli aadressi määramist, peale surutud DNS-i, üht olulist rakendust ja üht rada, mis peaks blokeerituks jääma. Kohandatud hookid peavad jooksma teenuse tegelikus õiguste ja failisüsteemi kontekstis, sest root-kest ei tõesta nende kohta midagi.

Loe väljaande märkmeid käitumismuudatuste, mitte ainult uute funktsioonide pärast. Šifrite ja TLS-i vaikeväärtused liiguvad versioonide vahel ning profiil, mis veel parsitakse, võib ikkagi kätlemisel ebaõnnestuda. Kui uuendus nõuab profiili- või sertifikaadimuudatusi, kavanda see eraldi sammuna, mitte ära pane paketiuuenduse sisse.

Lülita üle korra, tunnelist väljaspool asuvalt teelt

Alusta akent konsoolist või haldusvõrgust, mis teenust ei läbi. Kinnita, et kasutajaid teavitati ja teine operaator teab, kuidas tagasi pöörata. Rakenda ettevalmistatud muudatus selle omaniku kaudu, seejärel taaskäivita käsuga sudo systemctl restart [email protected] ja jälgi logi käsuga journalctl -u openvpn-server@office -b -f. Ümberlaadimisest piisab, kui muutusid ainult uniti definitsioonid; muudetud profiil nõuab protsessi taaskäivitamist.

Oota, et iga klient ühendub uuesti, ja oota, et mõned rakendusesessioonid ei jätku. Koordineeri puhas paus töökoormustega, mis seda taluda ei suuda.

Võta vastu või pööra tagasi, seejärel ütle kasutajatele, mis muutus

Vastuvõtt on värske sisselogimine pluss tegelik toiming pluss veel kehtivad piirangud. Aktiivne unit ja roheline olekurida on protsessi faktid. Kui kriteeriumid akna sees ebaõnnestuvad, pööra tagasi ettevalmistatud meetodiga, mitte ühe faili taastamise ja lootusega; muudetud binaar või teenusepoliitika elab konfiguratsiooni taastamise üle. Säilita kõik akna ajal tehtud tühistamis- või autoriseerimismuudatused, et tagasipööramine ei kustutaks turvatööd.

Kirjuta üles versioonid, profiilimuudatused ja vastuvõtutulemused järgmisele operaatorile, lõpeta pilootkuulaja kasutamine ja ütle kasutajatele, millist profiili nüüd kasutada. Aken, mis lõpeb ilma selle märkuseta, vaidlustatakse järgmisel uuendusel uuesti.