OpenVPN-apparaatrûte: konfiguraasje-eigner of opstartskript?
In filiaalrûte dy’t ien herstart oerlibbet, kin dochs ferdwine nei in bewarjen yn ’e GUI of in firmware-update. Ferlykje de stipe konfiguraasje-eigner mei in patchskript.
Jo foegje in filiaalrûte ta, dy wurket, en dan ferwideret in firmware-update of in bewarjen út ’e webynterface it. Twa ferbetterings lykje op dat stuit like ridlik: de rûte yn ’e stipe konfiguraasjeboarne fan it apparaat sette, of dy út in opstartskript oan it generearre bestân taheakje. Se gedrage har in wike itselde en wyke by de twadde upgrade útinoar. Dit artikel ferliket wat elk eins besit.
De twa kandidaten besitte ferskillende dingen
De stipe konfiguraasjeboarne is alles wat it apparaat as ynfier behannelet: in GUI-fjild, in ymportearre profyl, in dokumintearre map per klant, in ynstellingsdatabank dy’t it behearspakket lêst. De generearre server.conf is útfier. Útfier bewurkje wurket oant de generator wer rint, en dat bart by bewarjen, by herstart en by upgrade.
De skriptoanpak patcht dy útfier neidat de generator klear is. It is in legitime technyk foar in laboratoarium, en it is de ferkearde standert foar in filiaalkantoar, om’t it de rûte ôfhinklik makket fan tekstmatch ynstee fan in dokumintearre fjild.
| Question | Supported config source | Post-generation script |
|---|---|---|
| Survives a GUI save | Yes | Only if the save does not regenerate the file |
| Survives a package upgrade | Usually, when the field is documented | No guarantee; the wrapper can be replaced |
| Supportable by the vendor | Yes | No |
| Obvious to the next admin | Yes, it is in the UI | No, it lives in a wrapper |
Wat it apparaat regenerearret, en wannear
Behearspakketten hâlde ynstellingen meastentiids yn in databank of in set sjabloanen en meitsje de daemonkonfiguraasje by it starten. In bewarjen út ’e webynterface skriuwt faak it hiele bestân oer ynstee fan in rigel te patchen. As jo feroaring yn dat bestân libbe, is dy no fuort, en neat logt in warskôging, om’t fan it eachpunt fan it apparaat neat ferlern gien is.
Opstartwrappers hawwe in twadde flatermodus. In grep foar in rjochtline mei in bepaalde romte hâldt op te matchen nei in sjabloanferoaring, en it skript docht stilwei neat. Slimmer, in firmware-update kin de wrapper ferfange troch in nije ferzje en de patch meinimme. Dan hawwe jo in rûte dy’t in jier bestie en ferdwûn by ûnderhâld dat nimmen mei routing ferbûn.
Wat de stipe eigner útdrukke moat
In filiaalprefiks hat trije útspraken nedich, net ien. De klant moat de rûte leare, de tsjinner moat witte hokker autentisearre klant it prefiks besit, en de filiaalkant moat ferkear weromstjoere nei it tunneladres dat it krigen hat. Yn OpenVPN-termen betsjut dat in stjoerde route, in oerienkommende iroute ferbûn oan de klant, en in weromwei oan ’e oare kant.
Hjir misliede de ynterfaces fan apparaten. In oanfinkfakje mei it label “klanten tagong jaan ta it LAN fan de tsjinner” beskriuwt ferkear nei it eigen netwurk fan de tsjinner. Jo filiaal is de tsjinstelde rjochting: in netwurk efter ien klant, berikber fan ’e tsjinnerkant. Itsame label betsjut gjin stipe dêrfoar, en in jildige rjochtline yn in bestân is gjin belofte dat it pakket dy bewarret.
Wannear’t der gjin stipe kontrôle is
Soms kin de ynstallearre ferzje wier gjin peer-spesifike rûte útdrukke. Dan binne de earlike opsjes in oare gateway dy’t jo kontrolearje, of in stipe site-to-site-modus oan beide kanten. Beide einen moatte it sprekke. In produktspagina dy’t site-to-site seit makket gjin willekeurich OpenVPN-profyl útwikselber mei de tunnel fan in oar protokol, en dat pearje twinge jout meastentiids in healferbûn tunnel dy’t der op in statuspagina goed útsjocht.
Kies de opsje dy’t jo yn ien sin beskriuwe kinne oan wa’t it netwurk erft. As it antwurd in skriptpaad en in tekstpatroan neame moat, is it ûntwerp al broos.
Meitsje de bedoeling auditearber
Registrearje it kontrakt bûten it apparaat: effektive klantidentiteit, prefiks, weromgateway, en it stipe fjild dat elk leveret. Eksportearje de konfiguraasje fia it stipe meganisme sadat in werbou in referinsje hat, en ferifiearje de tsjinst nei in werferbining, in herstart en in upgrade ynstee fan allinnich nei de feroaring.
Ferlykje it generearre resultaat mei dat register as der wat brekt, ynstee fan in ûnferklearre rigel werom te setten en te hoopjen.OpenVPN 2.6-referinsje is it plak om te befêstigjen hoe route en iroute opinoar wurkje foardat jo mei in ynterface diskusjearje.
Kontrollist foar de folgjende feroaring: neam de eigner, stel it trijedielige kontrakt, eksportearje de bedoeling, en test opnij nei de eigen libbenssyklusbarren fan it apparaat ynstee fan nei jo bewurking.