Access Serveristä Community OpenVPNiin: mitä on rakennettava uudelleen

Access Server ja Community OpenVPN puhuvat samaa protokollaa ja lähes ei mitään muuta samalla tavalla. Kättely, salauksen neuvottelu ja tunnelin datataso ovat yhteensopivia, joten asiakas voi usein yhdistää kumpaan tahansa profiiliaan muokkaamatta. Ero on siinä, kenelle kokoonpano kuuluu: toinen tuote toimittaa hallintakerroksen, joka kirjoittaa ja valvoo käytäntöä, toinen antaa sinulle kokoonpanotiedoston ja joukon koukkuja ja odottaa sinun päättävän.

Tämä ero on migraatiosuunnitelma. Kaikki, minkä vanha tuote päätti puolestasi, on tehtävä näkyväksi päätökseksi jossain uudessa käyttöönotossa.

Missä kaksi käyttöönottoa lakkaavat olemasta vaihdettavissa

Access Serverissä verkkohallintaliittymä omistaa käyttäjät, ryhmät, käyttäjäkohtaiset oikeudet, sertifikaattien myöntämisen ja profiilipaketin, jonka ihminen lataa. Alla oleva daemon konfiguroidaan tuon kerroksen kautta, joten käynnissä oleva palvelu on tallennetun tilan tulos, jota harvoin muokkaat käsin. Community OpenVPN:ssä kokoonpanotiedosto on tila: se nimeää kuuntelijan, varmentajan, todennuskoukun ja jokaisen työnnetyn valinnan, eikä mikään kirjoita sitä puolestasi uudelleen. Sama TLS-koneisto on siis kahden hyvin erilaisen omistusmallin alla.

Lyhyt kartoitus tekee eron konkreettiseksi. Käyttäjät ja ryhmät ovat olemassa vain vanhassa tietokannassa, kunnes luot ne uudelleen. Profiilipaketeista tulee kokoonpanotiedosto ja sertifikaatit, jotka jaat itse. Käyttäjäkohtaisista oikeuksista tulee direktiivejä client-config-dir-hakemistoon. Hallintaliittymästä tulee mikä tahansa prosessi, jonka valitset sertifikaattien myöntämiseen ja tiedostojen muokkaamiseen.

Kirjoita kartoitus muistiin ennen kuin kosket palvelimeen. Jokainen rivi, jota et pysty täyttämään, on ominaisuus, jonka olet juuri pudottamassa, ja hiljainen pudottaminen on se, miten migraatiosta tulee kahden viikon päästä katkos.

Identiteetti ei siirry sertifikaattitiedostojen mukana

Vanhan varmentajan sertifikaatit voivat jäsentyä uudessa palvelussa oikein ja olla silti väärä identiteetti, koska vanha tuote yhdisti ne tilitilaan, jota uusi ei näe. Päätä ensin, todentaako uusi käyttöönotto pelkällä sertifikaatilla, PAMiin tai RADIUSiin yltävällä liitännäisellä vai näiden yhdistelmällä, ja tarkista, että jokainen vaihtoehto säilyttää tarvitsemasi ominaisuudet. Jaettu sertifikaatti ilman käyttäjäkohtaista identiteettiä on yksi valtuutus kaikille, joilla se on. Mitätöinnin on toimittava ensimmäisestä päivästä, mikä Community OpenVPN:ssä tarkoittaa crl-verify-direktiivin viittaamaa CRL-tiedostoa ja prosessia, joka luo sen uudelleen.

Suunnittele liittyminen ennen käyttöönottoa, ei sen jälkeen. Uudet sertifikaatit, testattu mitätöintipolku ja dokumentoitu tapa poistaa yksi henkilö käytöstä ovat edellytyksiä, eivät jatkotyötä. Jos monivaiheinen todennus tuli vanhan tuotteen integraatiosta, nimeä korvaaja selvästi, koska asentamaton liitännäinen epäonnistuu suljetusti kaikkein huonoimmalla hetkellä.

Reititys ja nimien selvitys seuraavat kokoonpanon kirjoittajaa

Reitit, DNS-asetukset ja täystunnelin toiminta ovat työnnettyjä valintoja molemmissa tuotteissa, mutta vain toinen laskee ne puolestasi. Community OpenVPN:ssä kirjoitat push-direktiivit itse, päätät kuuluuko redirect-gateway palvelimelle vai asiakkaalle ja varmistat, että edelleenlähetys ja NAT ovat isännässä. Valmis kättely ei kerro sinulle mitään edelleenlähetyksestä, osoitemuunnoksesta tai reiteistä, jotka asiakas todella sai.

Asiakaskohtainen toiminta vaatii client-config-dir-hakemiston ja tiedoston, joka on nimetty asiakkaan sertifikaatin common namen mukaan, ja sivustojen välinen pari tarvitsee iroute-merkinnät sen takana oleville prefikseille. Väärä nimeäminen jättää valinnat huomiotta ilman virhettä. Testaa yhdellä ei-tuotantoasiakkaalla sen omassa osoitealtaassa ja lue sitten sille annettu osoite, sille annetut reitit ja resolver-asetukset, joihin se päätyi.

Järjestä käyttöönotto niin, että vanha palvelu voi palata

Aja uusi kuuntelija eri portissa tai osoitteessa ja pidä vanha liikennettä palvelemassa, kunnes todistat korvaajan. Kaksi daemonia yhdessä pistokkeessa ei ole palautussuunnitelma.

Siirrä yksi ryhmä kerrallaan, omine sertifikaatteineen, omine altaineen ja omine reitteineen, ja harjoittele paluupolku sen sijaan että löytäisit sen kesken häiriön. Palautus, joka toimii vain jos uusi palvelu pysäytetään ensin, on yhä palautus, mutta se on testattava kun mikään ei ole tulessa.

Lopuksi luettele ominaisuudet, joilla ei ole suoraa vastinetta, ja päätä jokaisen kohtalo kirjallisesti: itsepalveluprofiilin lataus, käyttäjäkohtaiset oikeusliput, hallintaliittymä itse, reaaliaikainen yhteyksien raportointi. Niiden korvaaminen dokumentoidulla manuaalisella prosessilla on hyväksyttävä vastaus. Rivin jättäminen tyhjäksi ei ole.

Työ on valmis, kun käyttäjä, joka ei koskaan nähnyt vanhaa portaalia, voi liittyä, yhdistää, saavuttaa aiotun sisäisen osoitteen ja tulla siististi mitätöidyksi. Kaikki ennen sitä on valmistelua.