In OpenVPN-ûnderhâldsfenster planne sûnder de host te ferliezen

It opnij starten fan ’e VPN-tsjinst beëiniget elke sesje dy’t it brûkt, dat it finster moat om petearen hinne boud wurde, net om ’e pakketbehearder hinne. Brûkers hawwe genôch foarôfgeand berjocht nedich om gefoelich wurk ôf te meitsjen, en jo hawwe in wei werom nedich dy’t net ôfhinklik is fan ’e tunnel dy’t jo op it punt steane om te stopjen. Al it oare yn it hânboek bestiet om dy twa feiten behearsber te meitsjen. Sla oan ien fan beide foarby en in routine-update wurdt in steuring sûnder útwei.

De folchoarder hjirûnder is bewust: elke etappe produsearret wat de folgjende nedich hat, en elke etappe kin de feroaring einigje foardat it begjint.

Registrearje de tsjinst dy’t bestiet foardat jo it feroarje

Lês de ynstallearre ienheid yn stee fan de ien dy’t jo tinke dat jo skreaun hawwe: systemctl cat [email protected] printsje de ienheid en alle drop-ins, en systemctl show [email protected] -p ExecStart -p User -p WorkingDirectory lit sjen wat eins rint en ûnder hokker identiteit. Freegje de binary dy’t dy ienheid neamt, want openvpn --version út in shell kin nei in oare build útbine. Skriuw it profylpaad en elk bestân dêr’t it nei ferwiist op.

Tink ek om de harkjende sockets: ss -lunp | grep 1194 fertelt jo hokker adres en protokoll de daemon hjoed hat. As it antwurd net is wat it profyl suggerearret, dan oerskriuwt in drop-in of in omjouwingsbestân it, en de upgrade erft dy ferrassing.

Samle in herstelset dat immen oars brûke kin

It herstelset moat om 03:00 troch in kollega sûnder jo kontekst brûkt wurde kinne. Nim de effektive konfiguraasje mei elk ferwiisd bestân op, it fertrouwen- en weromlûkingsmateriaal ûnder kontrôle fan ’e PKI-eigner, de taskriuwingen en hooks per klant, en de krekte pakketferzjes dy’t hjoed ynstallearre binne. In kopy fan ien bestânsnamme is gjin konfiguraasje. Bewarje it earne dêr’t de tsjinstoperator it sûnder de VPN berikke kin.

Tagongskontrôles jilde ek foar dat set, want it befettet partikuliere kaaiien of backend-bewiisstikken. Bou de CA net opnij en jou gjin identiteiten opnij út allinnich om’t in pakketferzje feroare is.

Oefenje op in proefharker mei in echte klant

Rin de kandidaatferzje op in aparte harker mei syn eigen poart- en adresplan, net neist de produksje-eksimplaar op deselde socket. Ferbine mei de klantmotoren dy’t jo brûkers eins rinne, ynklusyf de ûnhannelige. Kontrolearje adrestaskriuwing, trochstjoerde DNS, ien applikaasje dy’t fan belang is, en ien paad dat blokkearre bliuwe moat. Oanpaste hooks moatte rinne yn ’e echte privileezje- en bestânssysteemkontekst fan ’e tsjinst, want in root-shell bewiist der neat oer.

Lês de útjefte-notysjes foar gedrachsferoarings, net allinnich foar nije funksjes. Standertwearden foar cipher en TLS ferskowe tusken ferzjes, en in profyl dat noch parst kin noch altyd in handshake mislearje. As de upgrade profyl- of sertifikaatferoarings nedich hat, plan dat dan as eigen stap yn stee fan it yn ’e pakketupdate te stopjen.

Skeakelje ien kear oer, fan in paad bûten de tunnel

Begjin it finster fan in konsôle of in beheardernetwurk dat net troch de tsjinst giet. Befêstigje dat brûkers ynformearre binne en dat in twadde operator wit hoe’t er weromrolle moat. Pas de taret feroaring ta fia syn eigner, start dan opnij mei sudo systemctl restart [email protected] en folgje it sjoernaal mei journalctl -u openvpn-server@office -b -f. In werladen is genôch as allinnich ienheidsdefinysjes feroare binne; in feroare profyl freget in opnij starten fan it proses.

Ferwachtsje dat elke klant wer ferbynt, en ferwachtsje dat guon applikaasjesesjes net trochgean. Koördinearje in skjinne pauze mei de wurklasten dy’t dat net ferneare kinne.

Akseptearje of rol werom, en fertel brûkers dan wat feroare is

Akseptaasje is in nije oanmelding plus in echte operaasje plus de beheiningen dy’t noch jilde. In aktive ienheid en in griene statusrigel binne prosesfeiten. As de kritearia binnen it finster mislearje, rol dan werom mei de tarode metoade, net troch ien bestân te herstellen en te hoopjen; in feroare binary of tsjinstbelied oerlibbet in konfiguraasjeherstel. Bewarje elke weromlûkings- of autorisaasjefoararing dy’t yn it finster dien is, sadat de weromrol gjin feilichheidswurk ûngedien makket.

Skriuw de ferzjes, profylferoarings en akseptaasje-resultaten foar de folgjende operator op, nim de proefharker út tsjinst en fertel brûkers hokker profyl se no brûke moatte. In finster dat sûnder dy notysje einiget, wurdt by de folgjende update wer bepraat.