Access Serverretik Community OpenVPNone: zer berreraiki behar den

Access Server eta Community OpenVPN protokolo bera hitz egiten dute, baina ia beste ezer ez modu berean. Esku-ematea, zifratuen negoziazioa eta tuneleko datu-planoa bateragarriak dira, beraz bezeroak askotan bietara konektatzen dira profilik aldatu gabe. Aldea konfigurazioaren jabea nor den da: produktu batek politika idazten duen kudeaketa-geruza dakar; besteak konfigurazio-fitxategi bat eta hook multzo bat ematen dizkizu eta zuk erabaki behar duzu.

Bereizketa hori da migrazio-plana. Produktu zaharrak zure izenean erabakitakoa erabaki esplizitu bihurtu behar da inplementazio berrian.

Non uzten dute bi inplementazioek trukagarri izateari

Access Serverren, web interfazeak dauzka erabiltzaileak, taldeak, erabiltzaileko baimenak, ziurtagirien jaulkipena eta deskargatzen den profil-sorta. Azpiko daemona geruza horrek konfiguratzen du, beraz martxan dagoen zerbitzua gordetako egoeraren emaitza da. Community OpenVPNn konfigurazio-fitxategia da egoera: entzulea, ziurtagiri-agintaritza, autentikazio-hooka eta push aukera guztiak izendatzen ditu, eta ezerk ez du berridazten. TLS makineria bera bi jabetza-ereduren azpian dago.

Mapaketa laburrak hutsunea zehazten du. Erabiltzaileak eta taldeak datu-base zaharrean soilik daude, berriz sortu arte. Profil-sortak konfigurazio-fitxategia gehi zuk banatutako ziurtagiriak dira. Erabiltzaileko baimenak client-config-dir barneko direktibak dira. Interfazea ziurtagiriak jaulki eta fitxategiak editatzeko aukeratzen duzun prozesua da.

Idatzi mapaketa zerbitzaria ukitu aurretik. Bete ezin duzun ilara bakoitza galduko duzun funtzio bat da, eta isilka galtzea da migrazioa bi aste geroago eten bihurtzen duena.

Identitatea ez da ziurtagiri-fitxategiekin transferitzen

Agintaritza zaharreko ziurtagiriak ondo parsea daitezke eta hala ere identitate okerra izan, produktu zaharrak kontu-egoera ikusezinarekin lotzen baitzituen. Erabaki ea zerbitzu berriak ziurtagiri hutsarekin, PAM edo RADIUSera iristen den plugin batekin edo konbinazio batekin autentikatzen duen, eta egiaztatu aukera bakoitzak behar dituzun propietateak mantentzen dituela. Erabiltzaileko identitaterik gabeko ziurtagiri partekatua kredentzial bakarra da daukaten guztientzat. Baliogabetzeak lehen egunetik funtzionatu behar du: crl-verifyk erreferentziatutako CRL fitxategia eta hura birsortzen duen prozesua.

Aurreikusi izen-ematea mozketa baino lehen. Ziurtagiri berriak, probatutako baliogabetze-bidea eta pertsona bat desgaitzeko modu dokumentatua baldintzak dira, ez ondorengo lana. Autentikazio multifaktorea integrazio zaharretik bazetorren, izendatu ordezkoa, instalatu gabeko plugin batek itxita huts egiten baitu unerik okerrenean.

Ibilbideak eta izen-ebazpena konfigurazioa idazten duenaren arabera doaz

Ibilbideak, DNS ezarpenak eta tunel osoa push aukerak dira bietan, baina batek soilik kalkulatzen ditu. Community OpenVPNn push direktibak zeuk idazten dituzu, erabakitzen duzu redirect-gateway zerbitzarian edo bezeroan doan, eta egiaztatzen duzu birbidalketa eta NAT daudela. Amaitutako esku-emateak ez du ezer esaten birbidalketaz, helbide-trukeaz edo bezeroak jasotako ibilbideez.

Bezero bakoitzeko portaerak client-config-dir behar du, bezeroaren ziurtagiriaren common name duen fitxategiarekin, eta gune arteko pareak iroute sarrerak atzean dauden prefijoetarako. Izena gaizki badago, aukerak isilka baztertzen dira errorearik gabe. Probatu produkziokoa ez den bezero batekin bere poolan, eta irakurri esleitutako helbidea, emandako ibilbideak eta resolver ezarpenak.

Sequentziatu mozketa zerbitzu zaharrak itzuli ahal izan dezan

Exekutatu entzule berria beste portu edo helbide batean, eta eduki zaharra lanean ordezkoa frogatzen duzun bitartean. Bi daemon socket bakarrean ez da atzera-egiteko plana.

Mugitu talde bat aldiko, bere ziurtagiri, pool eta ibilbideekin, eta entseatu itzulera-bidea, ez ezagutu intzidente baten erdian. Atzera-egitea, zerbitzu berria gelditu behar bada soilik funtzionatzen duena, atzera-egitea da, baina probatu behar da ezer sutan ez dagoenean.

Azkenik, zerrendatu baliokide zuzenik ez duten funtzioak eta erabaki bakoitzaren patua idatziz: profilaren auto-deskarga, erabiltzaileko baimen-bandak, interfazea bera, konexioen zuzeneko txostenak. Dokumentatutako eskuzko prozesu batekin ordezkatzea erantzun zilegia da; ilara hutsik uztea ez.

Lana eginda dago inoiz atari zaharra ikusi ez duen erabiltzaile batek izena eman, konektatu, barne-helbidea iritsi eta garbi baliogabetu dezakeenean. Aurretik guztia prestakuntza da.