Od Access Servera do Community OpenVPN: što treba ponovno izgraditi

Access Server i Community OpenVPN govore isti protokol i gotovo ništa drugo na isti način. Rukovanje, pregovaranje o šiframa i podatkovna ravnina tunela kompatibilni su, pa se klijent često može spojiti na oba bez uređivanja profila. Razlika je u tome kome pripada konfiguracija: jedan proizvod isporučuje sloj upravljanja koji piše i provodi politiku, a drugi vam daje konfiguracijsku datoteku i skup kuka i očekuje da odlučite sami.

Ta razlika jest plan migracije. Sve što je stari proizvod odlučio u vaše ime mora postati izričita odluka negdje u novom postavljanju.

Gdje dvije instalacije prestaju biti zamjenjive

U Access Serveru, web sučelje za administraciju posjeduje korisnike, grupe, dopuštenja po korisniku, izdavanje certifikata i paket profila koji osoba preuzima. Daemon ispod konfigurira taj sloj, pa je usluga koja radi rezultat pohranjenog stanja koje rijetko uređujete ručno. U Community OpenVPN konfiguracijska datoteka jest stanje: imenuje slušatelj, ustanovu za certifikate, kuku za autentifikaciju i svaku gurnutu opciju, i ništa je ne prepisuje umjesto vas. Isti TLS stroj tako stoji pod dva vrlo različita modela vlasništva.

Kratko mapiranje čini jaz konkretnim. Korisnici i grupe postoje samo u staroj bazi dok ih ne ponovno stvorite. Paketi profila postaju konfiguracijska datoteka plus certifikati koje sami distribuirate. Dopuštenja po korisniku postaju direktive u client-config-dir. Administracijsko sučelje postaje bilo koji proces koji odaberete za izdavanje certifikata i uređivanje datoteka.

Zapišite to mapiranje prije nego dotaknete poslužitelj. Svaki redak koji ne možete ispuniti značajka je koju ćete upravo ispustiti, a tihi gubitak način je na koji migracija postaje ispad dva tjedna kasnije.

Identitet se ne prenosi s datotekama certifikata

Certifikati stare ustanove mogu se ispravno parsirati u novoj usluzi i ipak biti pogrešan identitet, jer ih je stari proizvod spajao sa stanjem računa koje novi ne vidi. Najprije odlučite autentificira li novo postavljanje samo certifikatom, dodatkom koji doseže PAM ili RADIUS, ili kombinacijom, pa provjerite da svaka opcija čuva svojstva koja trebate. Zajednički certifikat bez identiteta po korisniku jedan je vjerodajnica za sve koji ga imaju. Opoziv mora raditi od prvog dana, što u Community OpenVPN znači CRL datoteku na koju upućuje crl-verify plus proces koji je ponovno generira.

Planirajte upis prije prelaska, a ne poslije. Novi certifikati, isprobana staza opoziva i dokumentiran način da onemogućite jednu osobu preduvjeti su, a ne posao koji slijedi. Ako je višefaktorska autentifikacija došla iz integracije starog proizvoda, izričito navedite zamjenu, jer dodatak koji nije instaliran pada zatvoreno u najgorem trenutku.

Usmjeravanje i razrješavanje imena slijede onoga koji piše konfiguraciju

Rute, DNS postavke i ponašanje punog tunela gurnute su opcije u oba proizvoda, ali samo ih jedan izračunava za vas. U Community OpenVPN sami pišete push direktive, odlučujete pripada li redirect-gateway poslužitelju ili klijentu i potvrđujete da na hostu postoje prosljeđivanje i NAT. Završeno rukovanje ne govori vam ništa o prosljeđivanju, prevođenju adresa ni rutama koje je klijent stvarno dobio.

Ponašanje po klijentu traži client-config-dir plus datoteku nazvanu po common name certifikata klijenta, a site-to-site par traži iroute unose za prefikse iza sebe. Ako je naziv pogrešan, opcije se ignoriraju bez pogreške. Testirajte s jednim klijentom izvan produkcije u njegovu vlastitom bazenu adresa, zatim pročitajte adresu koja mu je dodijeljena, rute koje je dobio i postavke razrješivača s kojima je završio.

Poredajte prelazak tako da se stara usluga može vratiti

Pokrenite novi slušatelj na drugom portu ili adresi i držite stari kako poslužuje promet dok dokazujete zamjenu. Dva daemona na istom socketu nisu plan vraćanja.

Premještajte jednu grupu odjednom, s njezinim certifikatima, njezinim bazenom i njezinim rutama, i uvježbajte put povratka umjesto da ga otkrijete tijekom incidenta. Vraćanje koje radi samo ako se nova usluga prvo zaustavi još je vraćanje, ali mora se isprobati dok ništa ne gori.

Na kraju popišite značajke bez izravnog ekvivalenta i odlučite sudbinu svake napisano: preuzimanje profila u samoposluzi, zastavice dopuštenja po korisniku, samo administracijsko sučelje, izvještavanje o vezama uživo. Zamjena dokumentiranim ručnim procesom legitiman je odgovor. Ostavljanje retka praznim nije.

Posao je gotov kada korisnik koji nikada nije vidio stari portal može se upisati, spojiti, doći do predviđene interne adrese i biti čisto opozvan. Sve prije toga je priprema.