Access Server menetti sidontansa verkkoliitännän uudelleennimeämisen jälkeen: korjaa avaimet

Nimesit verkkoliitännän uudelleen tai palautit koneen, jonka sovitin palasi toisella nimellä, ja nyt OpenVPN Access Serverin taustapalvelu ei käynnisty. Verkkoliittymä voi yhä vastata tai olla vastaamatta, riippuen siitä mikä komponentti oli sidottu vanhaan nimeen. Palvelu ei ole vioittunut eikä kokoonpano kadonnut; yksi asetus osoittaa yhä liitäntään, jota isännällä ei enää ole.

Vaistomainen reaktio on asentaa uudelleen, alustaa uudelleen tai muokata tietokantaa, kunnes virhe katoaa. Jokainen on suurempi muutos kuin vika, ja viimeinen voi pyyhkiä ne käyttäjät, oikeudet ja profiiliriippuvuudet, jotka tekivät palvelimesta palauttamisen arvoisen. Tämä on sidontaongelma, ja sillä on nimetty korjaus.

Mikä oire oikeastaan kertoo

Taustapalvelu, joka ei voi sitoa, kertoo sen yleensä omassa lokissaan: osoite ei ole käytettävissä tai liitäntää ei ole. Viesti on täsmällinen: se nimeää osoitteen, jota taustapalvelu yritti; vertaa sitä isännän ip -br addr komentoon nähdäksesi, nimmettiinkö liitäntä uudelleen, poistettiinko se vai nostettiinko se ilman vanhaa osoitettaan.

Pidä valtuutettu palautuskonsoli auki koko ajan. Jos sidonta, jota olet muuttamassa, kuljettaa ainoaa hallintayhteyttäsi, olet leikannut paluutiesi. Paikallinen konsoli, toinen hallintaosoite tai dokumentoitu kaistanulkoinen reitti tekevät muutoksesta peruutettavan.

Kysy kokoonpano ennen sen muokkaamista

Access Server tarjoaa palvelinkokoonpanonsa oman CLI:n kautta. Dokumentoitu näkymä on:

sacli ConfigQuery

Suorita se versiollesi dokumentoidussa hallintaympäristössä, älä toisen isännän irrallisesta komentotulkista. Tallenna nykyiset arvot suojattuun paikkaan ennen muutoksia äläkä liitä täyttä tulostetta julkiseen tukiketjuun.

Tuo tuloste on palvelinkokoonpanon näkymä, ei täydellinen varmuuskopio. Käyttäjä- ja ryhmäominaisuudet kysytään erikseen, joten puhdas sidonta ei palauta identiteettejä eikä palautettu identiteetti korjaa kuuntelijaa. Tallenna molemmat kahtena erillisenä artefaktina.

Selvitä, mikä kuuntelija on rikki

Access Server ajaa useampaa kuin yhtä kuuntelijaa. OpenVPN:n taustapalvelut kuljettavat tunneliliikennettä, verkkopalvelu hallinto- ja asiakasportaalia, ja muilla komponenteilla voi olla omat porttinsa. Epäonnistunut selainpyyntö ei kerro, mikä niistä epäonnistui, eikä virheilmoituksen porttinumero kerro sitä.

Taustapalvelun sidonta-avaimet on dokumentoitu palvelukohtaisesti, ja virallisessa opetusohjelmassa arvo on liitännän tunniste, vaikka avainten nimet päättyvät ip_address. Lue tuo lause kahdesti. Opetusohjelma olettaa myös, että UDP- ja TCP-taustapalvelut jakavat yhden liitännän, joten vain yhden avaimen korjaaminen on osittainen korjaus.

Muuta nimettyä asetusta, älä vastaavia rivejä

Opetusohjelma dokumentoi ConfigPut tietyille avaimille, kuten vpn.daemon.0.server.ip_address ja vpn.daemon.0.listen.ip_address. Käytä tuotteen omaa menetelmää avaimen nimen ja uuden arvon kanssa, versionsi dokumentoimassa syntaksissa, ja muuta vain diagnosoimasi kuuntelijan avaimia.

Sitä sinun ei pidä tehdä: etsiä tietokannasta kaikki rivit, joiden arvo vastaa vanhaa liitännän nimeä, ja korvata ne kaikki. Se olettaa, että vanha nimi esiintyi vain kuuntelijan asetuksissa, mitä skeema ei lupaa. Se tekee muutoksesta myös mahdotonta tarkistaa.

Kaksi muuta houkutusta kannattaa torjua. Kaikilla liitännöillä kuuntelevan oletuksen palauttaminen on altistumispäätös, ei kirjoitusvirheen korjaus; aiottu paikallinen sidonta, julkaistu reitti ja sen edessä oleva suodatus on sovitettava tähän valintaan. Kokoonpanon uudelleenalustus nimeää ongelman uudelleen sen sijaan että ratkaisisi sen, koska tuore asennus hylkää juuri ne käyttäjät ja oikeudet, jotka toimivat ennen uudelleennimeämistä.

Ota se käyttöön ja todista, että reitti toimii

Kun arvo on korjattu, ota se käyttöön tuotteen dokumentoidun elinkaaren kautta ( elinkaari ). Opetusohjelma käyttää sacli start avainten asettamisen jälkeen; se ei ole isännän täysi uudelleenkäynnistys eikä tietokannan nollaus.

ss -lntup | grep -E '1194|443'
sacli ConfigQuery | grep -i ip_address

Tarkista kuuntelija, tee yksi valtuutettu VPN-yhteys, saavuta yksi yksityinen resurssi ja lataa hallintasivu odotettua reittiä pitkin. Säilytä nykyiset käyttöoikeudet ja peruutukset; palautus, joka nollaa ne, on korjannut sidonnan ja menettänyt käyttöönoton. Työ on valmis, kun sama palvelu toimii aiotulla liitännällään.