OpenVPN-klant opnij ferbine: trije kontrôles, trije omfangen

Immen freget om de VPN-klant opnij ferbine te litten, en dat fersyk kin trije ferskate dingen betsjutte. It kin betsjutte dat ien autentisearre sesje falle litten wurdt, dat elke klant te hearren kriget dat in UDP-tsjinner fuortgiet, of dat de daemon sels opnij start wurdt. Elk hat in oare ynfloedsradius, en de ferkearde kar makket fan in repaaraasje foar ien brûker in steuring. It omfang is de beslissing, en it kommando folget dêrút.

Freegje wa't rekke wurde moat foardat jo freegje hokker kontrôle te brûken.

Ien eksimplaar: de behearinterface

In ynstelde behearinterface kin ferbûne eksimplaren listje en krekt ien dêrfan falle litte. Elke sesje draacht in klantidentifikaasje, en client-kill CID rjochtet him op dy identifikaasje yn stee fan op in mienskiplike namme. Lês de libbene identifikaasje út de aktuele statusútfier, want in wearde dy't út in âlder logboek kopiearre is, ferwiist nei in sesje dy't net mear bestiet. It eksimplaar falle litte einiget dy ferbining en fierder neat.

It garandearret gjin nije ferbining. Oft de klant weromkomt hinget ôf fan syn weromkearynstellingen, syn oerbleaune fiere ynfieringen, syn autentikaasjeeasken en oft de tafersjochhâldende applikaasje noch rint. In weromkommende klant krijt in nije identifikaasje, en dêrom is it ferlykjen fan identifikaasjes de iennichste betroubere manier om âld fan nij te ûnderskieden.

In UDP-útgongsberjocht is gjin kommando per klant

explicit-exit-notify is in konfiguraasje-ynstruksje oer út- en werstartbarrens. Op in UDP-klant fertelt it de oare kant dat de sesje einiget, en it numerike argumint regelet hoe faak it berjocht werhelle wurdt. As de tsjinner oer UDP rint, stjoert er in werstartkontrôleberjocht nei syn ferbûne klanten, en de dokumintearre wearden ûnderskiede opnij ferbinen mei deselde tsjinner fan it ferhúzjen nei in oare fiere ynfiering. Dat is in libsensyklussignaal mei in breed publyk.

Der is neat yn dat in willekeurige klant op in willekeurich momint kiest. It behannelje as in opnij-ferbineknop berikt alle ferbûne sesjes tagelyk.

Sinyalen wurkje op it proses, net op in sesje

SIGUSR1 freget in rinnend proses om syn ferbining opnij te starten sûnder de konfiguraasje opnij te lêzen, en de persistinsje-opsjes beslisse wat dy werstart oerlibbet. SIGHUP giet fierder: it lêst it konfiguraasjebestân opnij en iepenet syn boarnen opnij. SIGTERM en SIGINT freegje om in oarderlike ôfsluting. Dat binne operaasjes op prosesnivo: op in tsjinner mei mear klanten rekket it elke sesje dy't it proses draacht, net dejinge dy't yn it ticket neamd wurdt.

As it proses ûnder in tsjinstbehearder rint, brûk dan it eigen behear fan de behearder yn stee fan in sinjaal te stjoeren nei in PID dy't jo yn in proseslist fûn hawwe. Lês de ienheid om te sjen hokker sinjaal de behearder stjoert, want in werstart en in werladen dogge ferskate dingen mei deselde daemon.

Bepaal it omfang foardat jo de kontrôle kieze

Trije fragen meitsje it út. Wa't rekke wurde moat: ien brûker, elke klant fan ien tsjinner, of de daemon en alles wat er draacht. Wat oerlibje moat: de konfiguraasje, de tunnelstatus, of gjin fan beide. Wa't der foech ta hat: de behear-yntegraasje, de tsjinst-eigner, of de netwurkoperator dy't it útgongsberjocht regelet. Beäntwurdzje dat en mar ien kontrôle past.

In net-autentisearre behearlistener taheakje om in opnij-ferbineknop te krijen jout folle mear as dy knop oan wa't de poarte berikke kin.

Ferifiearje de nije sesje, net de ôfbrekking

In ôfbrekkingsbarren bewiist dat de âlde sesje einige. It seit neat oer in nije dy't him autentisearret, in adres krijt, rûtes ynstallearret of it helpboarn berikt dat de brûker nedich hie. Kontrolearje de nije identifikaasje, dan de tunnelstatus, dan ien echt helpboarn. Dy trije stappen binne it ferskil tusken in opnij ferbining en in ferbining dy't wurket.

Skriuw it omfang yn it feroaringsrekord. 'Ik haw de klant opnij ferbûn' is gjin beskriuwing as de klant ien fan fjirtich op in dielde tsjinner wie.