Hoe't jo in VPN-tsjinnerkonfiguraasje feilich weromsette

In tsjinner weromsette is in beslút oer hokker laach mislearre, gjin oefening yn it kopiearjen fan bestannen. Konfiguraasje, bewiisrigels en pakketferzjes bewege op aparte klokken, en ien weromsette wylst de oaren by de tiid bliuwe, leveret in host op dy't sûn liket en him net konsekwint hâldt. De folchoarder hjirûnder giet derfan út dat in feroaring al ferkeard gien is en freget jo de lytste gearhingjende tastân werom te setten. Wurkje it yn oarder troch en beskôgje de tagongscheck bûten de bân as de stap dy't nimmen oerslaan moat.

Meitsje in kontrôlepunt dat jo wier weromsette kinne

Skriuw de konfiguraasje op dy't de tsjinst by it opstarten lêst, tegearre mei de ferzje dy't it foar it lêst ferwurke hat. In bestân dat ûnder in âldere útjefte skjin laden waard, kin nei in upgrade wegere of stilwei negearre wurde, dat de ferzje heart by deselde notysje. Nim it materiaal mei dêr't de konfiguraasje nei wiist: priveesleutels, sertifikaatpaden, definysjes fan harkers en de DNS- en firewalyngongen dy't de tsjinst berikber meitsje. As in weromsetten in bestân nedich hawwe soe dat jo net bewarre hawwe, is it kontrôlepunt ûnfolslein.

Nammje de eigner fan elke ynstelling wylst it systeem noch sûn is. In rûte dy't it paniel fan de leveransier ynstallearret, ien dy't troch de firewall fan de host tafoege wurdt en ien dy't nei kliïnten ta stjoerd wurdt, binne trije ferskillende objekten, en it ferkearde weromsette lit de oare twa stean. In koarte tabel fan ynstelling, eigner en bestânspaad is genôch.

Hâld yntrekkingen los fan de konfiguraasje

In âlde konfiguraasje kin stilwei in apparaat wer ferbine dat jo mei opsetsin fuorthelle hawwe, wat in weromsetten feroaret yn in feiligens efterútgong. Bewarje de hjoeddeistige yntreklis en de útskeakele akkounts wylst jo it netwurkbelied weromsette, en pas se dêrnei wer ta foardat de tsjinst kliïnten akseptearret.

Besjoch de identiteitstastân as in eigen weromsetten mei eigen bewiis. Sertifikaatyntrekbestannen, it útskeakeljen fan akkounts en MFA-ynskriuwing wenje selden op itselde plak as de daemonkonfiguraasje, en in konfiguraasje-weromsetten sil se net oanreitsje. Kontrolearje earst de hjoeddeistige tastân, sadat jo witte wat oerbliuwe moat. Befêstigje nei it weromsetten dat de fuorthelle identiteit noch altyd net ferbine kin.

Berik de host as de tunnel mislearret

Iepenje in paad nei de masine dat net fan de feroare komponint ôfhinget. In hypervisor-konsole, in behearadres op in aparte interface of in searjele konsole foldogge allegear; in SSH-sesje dy't troch de tunnel droegen wurdt net. As de iennige tagong de VPN is dy't jo op it punt steane om opnij te starten, nimt in minne rûte of firewallregel jo de mooglikheid ôf om it te korrizjearen. Test it alternative paad foar de feroaring, net dêrnei. Meld jo ien kear oan fia dat paad, befêstigje dat sudo wurket en skriuw it krekte adres op dat jo brûkt hawwe.

De test is ienfâldich: bring de tunnel del wylst jo fia it alternative paad ferbûn binne en sjoch oft de sesje oerbliuwt. As dy falt, hawwe jo de flat fûn foardat dy jo fêstsette koe.

Pas ien revyzje ta en witte wannear't dy fan krêft wurdt

Brûk de dokumintaasje fan de tsjinst foar reload of restart en sykje út hokker rjochtlinen op hokker momint lêzen wurde. Guon wearden jilde by reload, oaren pas as in nije sesje of proses begjint, dat it bewurkjen fan in bestân bewiist neat oer de rinnende tastân. Set ien revyzje werom ynstee fan in nij bestân mei âlde rintiidstastân te mingen. Yn twifel is in folsleine restart fan de tsjinst makliker te beredenearen as in dielreload.

Kontrolearje de definysje fan de ienheid foardat jo kieze: systemctl show -p ExecReload openvpn@server fertelt jo oft der hielendal in reloadheak bestiet. Pas dan de revyzje ta en lês yn it sjoernaal de earste nije flaten foardat jo eat oars feroarje.

Ferifiearje, registrearje en ûndersykje dêrnei

Ferbyn ien autorisearre kliïnt en beoefen wêr't de tsjinst foar is: namme-oplossing, in werferbining en de applikaasje dy't mislearre. Befêstigje dat de yntrokken identiteit noch altyd wegere wurdt. Registrearje de revyzje dy't jo weromset hawwe, de tiid en de reden, want de folgjende operator hat alle trije nedich. In weromsetten dat nimmen dokumintearre hat, wurdt in mystearje de folgjende kear as de tsjinst him misdocht.

systemctl status openvpn@server --no-pager
journalctl -u openvpn@server -n 50 --no-pager

Sadree't de tsjinst stabyl is, reprodusearje de mislearre feroaring op in host of momintbyld dat jo fuortsmite kinne. Dat skiedt in minne konfiguraasje fan in min pakket of in ferrûn sertifikaat. Hâld de weromsette konfiguraasje ûnder ferzje-behear, sadat it folgjende kontrôlepunt fan in bekend commit begjint. It doel fan de oefening is in dokumintearre einpunt, gjin permaninte delgong.