OpenVPN-laitteen reitti: kokoonpanon omistaja vai käynnistyskomentosarja?
Yhden uudelleenkäynnistyksen kestävä haarareitti voi silti kadota GUI-tallennuksen tai laiteohjelmistopäivityksen jälkeen. Vertaa tuettua kokoonpanon omistajaa korjauskomentosarjaan.
Lisäät haarareitin, se toimii, ja sitten laiteohjelmistopäivitys tai verkkokäyttöliittymästä tallentaminen poistaa sen. Kaksi korjausta näyttää siinä hetkessä yhtä järkevältä: sijoittaa reitti laitteen tuettuun kokoonpanolähteeseen tai liittää se käynnistyskomentosarjasta luotuun tiedostoon. Ne käyttäytyvät samoin viikon ja eroavat toisessa päivityksessä. Tämä artikkeli vertaa, mitä kumpikin todella omistaa.
Kaksi ehdokasta omistaa eri asioita
Tuettu kokoonpanolähde on kaikki, mitä laite kohtelee syötteenä: GUI-kenttä, tuotu profiili, dokumentoitu hakemisto asiakasta kohden, hallintapaketin lukema asetustietokanta. Luotu server.conf on tuloste. Tulosteen muokkaaminen toimii, kunnes generaattori ajetaan uudelleen, ja se tapahtuu tallennettaessa, uudelleenkäynnistettäessä ja päivitettäessä.
Komentosarjalähestymistapa korjaa tämän tulosteen sen jälkeen, kun generaattori on valmis. Se on laillinen tekniikka laboratoriolle, ja se on väärä oletus haaratoimistolle, koska se tekee reitistä tekstin täsmäytyksestä riippuvaisen dokumentoidun kentän sijaan.
| Question | Supported config source | Post-generation script |
|---|---|---|
| Survives a GUI save | Yes | Only if the save does not regenerate the file |
| Survives a package upgrade | Usually, when the field is documented | No guarantee; the wrapper can be replaced |
| Supportable by the vendor | Yes | No |
| Obvious to the next admin | Yes, it is in the UI | No, it lives in a wrapper |
Mitä laite luo uudelleen, ja milloin
Hallintapaketit pitävät asetukset yleensä tietokannassa tai mallipohjien joukossa ja luovat taustapalvelun kokoonpanon käynnistyessä. Verkkokäyttöliittymästä tallentaminen kirjoittaa usein koko tiedoston uudelleen sen sijaan, että korjaisi yhden rivin. Jos muutoksesi eli siinä tiedostossa, se on nyt poissa, eikä mikään kirjaa varoitusta, koska laitteen näkökulmasta mitään ei menetetty.
Käynnistyskuorilla on toinen vikatila. grep tietyllä välistyksellä olevalle direktiiville lakkaa täsmäämästä mallipohjan muutoksen jälkeen, ja komentosarja ei tee hiljaa mitään. Pahempaa, laiteohjelmistopäivitys voi korvata kuoren uudella versiolla ja viedä korjauksen mukanaan. Silloin sinulla on reitti, joka oli olemassa vuoden ja katosi huollossa, jota kukaan ei yhdistänyt reititykseen.
Mitä tuetun omistajan on ilmaistava
Haaraprefiksi tarvitsee kolme väitettä, ei yhtä. Asiakkaan on opittava reitti, palvelimen on tiedettävä, mikä todennettu asiakas omistaa prefiksin, ja haarapuolen on palautettava liikenne sille annettuun tunneliosoitteeseen. OpenVPN-termein se tarkoittaa työnnettyä route, asiakkaaseen sidottua vastaavaa iroute ja paluupolkua toisella puolella.
Tässä laitteiden käyttöliittymät johtavat harhaan. Valintaruutu, jonka nimi on »salli asiakkaiden käyttää palvelimen lähiverkkoa«, kuvaa liikennettä palvelimen omaan verkkoon. Haarasi on vastakkainen suunta: verkko yhden asiakkaan takana, saavutettavissa palvelimen puolelta. Sama nimi ei tarkoita tukea sille, eikä tiedostossa oleva kelvollinen direktiivi ole lupaus siitä, että paketti säilyttää sen.
Kun tuettua ohjausta ei ole
Joskus asennettu versio ei todella pysty ilmaisemaan vertaiskohtaista reittiä. Silloin rehelliset vaihtoehdot ovat toinen yhdyskäytävä, jota hallitset, tai tuettu sivusto-sivusto-tila molemmissa päissä. Molempien päiden on puhuttava sitä. Tuotesivu, joka sanoo sivusto-sivusto, ei tee mielivaltaisesta OpenVPN-profiilista vaihdettavaa toisen protokollan tunnelin kanssa, ja tämän parin pakottaminen tuottaa yleensä puoliksi yhdistetyn tunnelin, joka näyttää tilasivulla hyvältä.
Valitse vaihtoehto, jonka voit kuvata yhdellä lauseella sille, joka perii verkon. Jos vastaus vaatii komentosarjapolun ja tekstikuvion mainitsemista, suunnittelu on jo hauras.
Tee aikomuksesta auditoitava
Kirjaa sopimus laitteen ulkopuolelle: tehokas asiakkaan identiteetti, prefiksi, paluuyhdyskäytävä ja tuettu kenttä, joka antaa kunkin niistä. Vie kokoonpano tuetun mekanismin kautta, jotta uudelleenrakennuksella on viite, ja varmista palvelu uudelleenyhdistämisen, uudelleenkäynnistyksen ja päivityksen jälkeen, älä vain muutoksen jälkeen.
Vertaa luotua tulosta tuohon kirjaukseen, kun jotain hajoaa, sen sijaan että palauttaisit selittämättömän rivin ja toivoisit.OpenVPN 2.6 -viite on paikka vahvistaa, miten route ja iroute vaikuttavat toisiinsa, ennen kuin väittelet käyttöliittymän kanssa.
Tarkistuslista seuraavaa muutosta varten: nimeä omistaja, esitä kolmiosainen sopimus, vie aikomus, ja testaa uudelleen laitteen omien elinkaaritapahtumien jälkeen, älä muokkauksesi jälkeen.