Fan Access Server nei Community OpenVPN: wat der opnij boud wurde moat

Access Server en Community OpenVPN prate deselde protokol en hast neat oars op deselde wize. De hânskud, de ûnderhanneling fan fersifering en it datavlak fan de tunnel binne kompatibel, sadat in klant faak mei beide ferbine kin sûnder syn profyl te bewurkjen. It ferskil is wa de konfiguraasje besit: ien produkt leveret in behearderlaach dy belied skriuwt en hanthavet, it oare jout dy in konfiguraasjebestân en in set fan haken en ferwachtet datsto sels beslute.

Dat ferskil is it migraasjeplan. Alles wat it âlde produkt foar dy besleat, moat earne yn de nije útrôl in eksplisite beslissing wurde.

Wêr de twa útrôlen ophâlde útwikselber te wêzen

Yn Access Server besit de webbehearderinterface brûkers, groepen, rjochten per brûker, sertifikaatferliening en it profylpakket dat immen ynladen docht. De daemon derûnder wurdt troch dy laach konfigurearre, dus de tsjinst dy rint is it produkt fan bewarre steat dy sto selden mei de hân bewurkest. Yn Community OpenVPN is it konfiguraasjebestân de steat: it neamt de listener, de sertifikaatautoriteit, de autentikaasjehaak en elke pushte opsje, en neat skriuwt it foar dy oer. Deselde TLS-masjinerie stiet dus ûnder twa hiel ferskillende eigendomsmodellen.

In koarte mapping makket it gat konkreet. Brûkers en groepen besteane allinnich yn de âlde databank oantsto se opnij makkest. Profylpakketten wurde in konfiguraasjebestân plus sertifikaten dy sto sels ferspriedst. Rjochten per brûker wurde ynstruksjes yn client-config-dir. De behearderinterface wurdt it proses datsto kiest om sertifikaten te ferlienjen en bestannen te bewurkjen.

Skriuw dy mapping op foardatsto in tsjinner oanrekest. Elke rige dy sto net folje kinst is in funksje dy sto op it punt steanste te ferliezen, en stil ferliezen is hoe in migraasje twa wiken letter in steuring wurdt.

Identiteit giet net mei de sertifikaatbestannen oer

Sertifikaten fan de âlde autoriteit kinne yn de nije tsjinst goed parsearre wurde en dochs de ferkearde identiteit wêze, om it âlde produkt se keppele oan accountsteat dy it nije net sjocht. Beslút earst oft de nije útrôl autentisearret mei allinnich in sertifikaat, mei in plugin dy PAM of RADIUS berikt, of mei in kombinaasje, en kontrolearje dan oft elke opsje de eigenskippen behâldt dy sto nedich hast. In dield sertifikaat sûnder identiteit per brûker is ien ynskriuwing foar elkenien dy it hat. Ynlûken moat ek fan de earste dei ôf wurkje, wat yn Community OpenVPN in CRL-bestân betsjut dêr crl-verify nei ferwiist, plus in proses dat it opnij makket.

Plan de ynskriuwing foar de oerstap, net dêrnei. Nije sertifikaten, in testen ynlûkpaad en in dokumintearre manier om ien persoan út te skeakeljen binne betingsten, gjin neiwurk. As multyfaktorautentikaasje út de yntegraasje fan it âlde produkt kaam, neam dan de ferfanging eksplisyt, want in plugin dy net ynstallearre is falt ticht op it slimste momint.

Rûtes en namme-oplossing folgje de konfiguraasjeskriuwer

Rûtes, DNS-ynstellingen en it gedrach fan in folsleine tunnel binne pushte opsjes yn beide produkten, mar mar ien berekkent se foar dy. Yn Community OpenVPN skriuwest de push-ynstruksjes sels, beslútst oft redirect-gateway by de tsjinner of by de klant heart, en befêstigest dat trochstjoering en NAT op de host besteane. In foltôge hânskud fertelt dy neat oer trochstjoering, adresomsetting of de rûtes dy de klant echt krige.

Gedrach per klant freget client-config-dir plus in bestân neamd nei de common name fan it sertifikaat fan de klant, en in site-nei-site-pear freget iroute-ynfieringen foar de prefiksen dêrefter. Mei in ferkearde namme wurde de opsjes sûnder flater negearre. Test mei ien net-produksjeklant yn syn eigen adrespúl, en lês dan it adres dat er krige, de rûtes dy er krige en de resolver-ynstellingen dêr er mei einige.

Rangskik de oerstap sa dat de âlde tsjinst werom komme kin

Rin de nije listener op in oare poarte of in oar adres, en hâld de âlde ferkear tsjinje wylststo de ferfanging bewize. Twa daemons op ien socket is gjin weromrûnplan.

Ferpleats ien groep tagelyk, mei eigen sertifikaten, eigen púl en eigen rûtes, en oefen it werompaad ynstee fan it ûntdekken by in ynsidint. In weromrûn dat allinnich wurket as de nije tsjinst earst stoppe wurdt is noch hieltyd in weromrûn, mar it moat test wurde as neat yn brân stiet.

List ta slot de funksjes op sûnder direkte ekwivalint en beslút it lot fan elk op skrift: selsbetsjinning fan profyldownload, rjochteflaggen per brûker, de behearderinterface sels, live ferbiningsoersjoch. Se ferfange troch in dokumintearre hânmjittich proses is in legitime antwurd. De rige leech litte is dat net.

It wurk is dien as in brûker dy it âlde portaal nea seach him ynskriuwe, ferbine, it bedoelde ynterne adres berikke en skjin ynlûke litte kin. Alles dêrfoar is tarieding.