OpenVPN-karbantartási ablak tervezése a hoszt elvesztése nélkül

A VPN-szolgáltatás újraindítása minden őt használó munkamenetet lezár, ezért az ablakot a beszélgetések köré kell építeni, nem a csomagkezelő köré. A felhasználóknak elég előzetes értesítés kell az érzékeny munka befejezéséhez, neked pedig olyan visszaút kell, amely nem függ az alagúttól, amelyet épp leállítani készülsz. A kézikönyv minden más eleme azt szolgálja, hogy ez a két tény kezelhető legyen. Hagyd ki bármelyiket, és a rutinfrissítésből kijárat nélküli kiesés lesz.

Az alábbi sorrend szándékos: minden szakasz létrehoz valamit, amire a következőnek szüksége van, és bármelyik szakasz leállíthatja a változtatást, mielőtt elkezdődne.

Rögzítsd a létező szolgáltatást, mielőtt módosítanád

A telepített unitot olvasd, ne azt, amelyet emlékeid szerint te írtál: systemctl cat [email protected] kiírja a unitot és az esetleges drop-inekat, a systemctl show [email protected] -p ExecStart -p User -p WorkingDirectory pedig megmutatja, mi fut valójában és milyen identitással. Kérdezd le a binárist, amelyet a unit megnevez, mert a héjból futtatott openvpn --version más buildekre oldódhat fel. Jegyezd fel a profil útvonalát és minden hivatkozott fájlt.

Figyelj a figyelő socketekre is: a ss -lunp | grep 1194 megmondja, melyik címet és protokollt birtokolja ma a démon. Ha a válasz nem az, amit a profil sugall, akkor egy drop-in vagy egy környezeti fájl felülírja, és a frissítés örökölni fogja ezt a meglepetést.

Állíts össze egy helyreállítási készletet, amelyet más is használhat

A helyreállítási készletnek 03:00-kor, a te kontextusod nélkül is használhatónak kell lennie egy kolléga számára. Vedd bele a hatályos konfigurációt minden hivatkozott fájllal, a bizalmi és visszavonási anyagot a PKI tulajdonosának felügyelete alatt, az ügyfelenkénti hozzárendeléseket és hookokat, valamint a ma telepített pontos csomagverziókat. Egyetlen fájlnév másolata nem konfiguráció. Olyan helyen tárold, ahol az ügyeletes operátor a VPN nélkül is eléri.

A hozzáférés-vezérlés erre a készletre is vonatkozik, mert privát kulcsokat vagy backend-hitelesítő adatokat tartalmaz. Ne építsd újra a CA-t, és ne adj ki újra identitásokat csak azért, mert egy csomagverzió megváltozott.

Próbáld ki egy próba-figyelőn valódi klienssel

A jelölt kiadást külön figyelőn futtasd, saját port- és címtervvel, ne a termelési példány mellett ugyanazon a socketen. Azokkal a kliensmotorokkal csatlakozz, amelyeket a felhasználóid valóban futtatnak, a kényelmetlenrel együtt. Ellenőrizd a címkiosztást, a pusholt DNS-t, egy fontos alkalmazást és egy útvonalat, amelynek blokkolva kell maradnia. Az egyéni hookoknak a szolgáltatás valódi jogosultsági és fájlrendszer-kontextusában kell futniuk, mert a root-héj semmit sem bizonyít róluk.

A kiadási megjegyzéseket viselkedésváltozásokért olvasd, ne csak az új funkciókért. A titkosítási és TLS-alapértelmezések verziók között mozognak, és egy még mindig elemzett profil is elbukhat a kézfogáson. Ha a frissítés profil- vagy tanúsítványváltozást igényel, külön lépésként tervezd, ne a csomagfrissítésbe csomagolva.

Egyszer válts át, az alagúton kívüli útvonalról

Az ablakot olyan konzolról vagy felügyeleti hálózatról indítsd, amely nem halad át a szolgáltatáson. Erősítsd meg, hogy a felhasználókat értesítették, és egy második operátor tudja, hogyan kell visszaállni. Az előkészített változtatást a tulajdonosán keresztül alkalmazd, majd indítsd újra a sudo systemctl restart [email protected] paranccsal, és kövesd a naplót a journalctl -u openvpn-server@office -b -f paranccsal. Újratöltés elég, ha csak unitdefiníciók változtak; a módosított profilhoz a folyamat újraindítása kell.

Számíts rá, hogy minden kliens újracsatlakozik, és arra is, hogy néhány alkalmazás-munkamenet nem folytatódik. Egyeztess tiszta szünetet azokkal a munkaterhelésekkel, amelyek ezt nem viselik el.

Fogadd el vagy állj vissza, majd mondd el a felhasználóknak, mi változott

Az elfogadás egy friss bejelentkezés, egy valódi művelet és a továbbra is érvényben lévő korlátozások. Az aktív unit és a zöld állapotsor folyamattények. Ha a kritériumok az ablakon belül megbuknak, az előkészített módszerrel állj vissza, ne egyetlen fájl visszaállításával és reménykedéssel; a megváltozott bináris vagy szolgáltatáspolitika túléli a konfiguráció visszaállítását. Őrizz meg minden visszavonási vagy jogosultsági változást, amely az ablak alatt történt, hogy a visszaállás ne tegye semmissé a biztonsági munkát.

Jegyezd fel a verziókat, a profilváltozásokat és az elfogadási eredményeket a következő operátornak, voncskold ki a próba-figyelőt, és mondd el a felhasználóknak, melyik profil kell most használni. Egy ablak, amely e jegyzet nélkül ér véget, a következő frissítésnél újra előkerül.