Access Server-ից Community OpenVPN. ինչ պետք է վերակառուցել

Access Server-ը և Community OpenVPN-ը խոսում են նույն արձանագրությամբ և գրեթե ոչ մի այլ բանով նույն ձևով։ Ձեռքսեղմումը, ծածկագրման բանակցությունը և թունելի տվյալների հարթությունը համատեղելի են, ուստի հաճախորդը հաճախ կարող է միանալ երկուսին էլ՝ չխմբագրելով իր պրոֆիլը։ Տարբերությունը նրանում է, թե ումն է կոնֆիգուրացիան. մի ապրանք տալիս է կառավարման շերտ, որը գրում և կիրառում է քաղաքականություն, մյուսը տալիս է կոնֆիգուրացիայի ֆայլ և կեռիկների հավաքածու և սպասում է, որ դուք որոշեք։

Հենց այդ տարբերությունն է միգրացիայի պլանը։ Այն ամենը, ինչ հին ապրանքը որոշել է ձեր փոխարեն, պետք է դառնա հստակ որոշում նոր տեղակայման ինչ-որ կետում։

Որտեղ երկու տեղակայումները դադարում են փոխանակելի լինել

Access Server-ում վեբ կառավարման միջերեսը տիրապետում է օգտատերերին, խմբերին, յուրաքանչյուր օգտատիրոջ թույլտվություններին, վկայականների տրամադրմանը և այն պրոֆիլի փաթեթին, որը մարդը ներբեռնում է։ Ներքևի դեմոնը կարգավորվում է այդ շերտով, ուստի աշխատող ծառայությունը պահված վիճակի արդյունք է, որը դուք ձեռքով հազվադեպ եք խմբագրում։ Community OpenVPN-ում կոնֆիգուրացիայի ֆայլը հենց վիճակն է. այն անվանում է լսողին, վկայականների մարմնին, նույնականացման կեռիկը և յուրաքանչյուր ուղարկված ընտրանք, և ոչինչ այն չի վերագրում ձեր փոխարեն։ Նույն TLS մեքենան այդպիսով կանգնած է երկու շատ տարբեր սեփականության մոդելների տակ։

Կարճ քարտեզագրումը բացը դարձնում է շոշափելի։ Օգտատերերն ու խմբերը գոյություն ունեն միայն հին տվյալների բազայում, քանի դեռ դուք նորից չեք ստեղծել դրանք։ Պրոֆիլի փաթեթները դառնում են կոնֆիգուրացիայի ֆայլ և վկայականներ, որոնք դուք ինքներդ եք բաշխում։ Յուրաքանչյուր օգտատիրոջ թույլտվությունները դառնում են հրահանգներ client-config-dir-ում։ Կառավարման միջերեսը դառնում է այն գործընթացը, որը դուք ընտրում եք վկայականներ տրամադրելու և ֆայլեր խմբագրելու համար։

Գրեք այդ քարտեզագրումը նախքան սերվերին դիպչելը։ Յուրաքանչյուր տող, որը չեք կարող լրացնել, հատկանիշ է, որը դուք հիմա կկորցնեք, և լուռ կորուստն այն ձևն է, որով միգրացիան երկու շաբաթ անց դառնում է ընդհատում։

Ինքնությունը չի փոխանցվում վկայականների ֆայլերի հետ

Հին մարմնի վկայականները կարող են ճիշտ վերլուծվել նոր ծառայությունում և այնուամենայնիվ լինել սխալ ինքնություն, որովհետև հին ապրանքը դրանք զուգակցել է հաշվի վիճակի հետ, որը նորը չի տեսնում։ Նախ որոշեք՝ նոր տեղակայումը նույնականացնում է միայն վկայականով, PAM կամ RADIUS հասնող պլագինով, թե դրանց համադրությամբ, ապա ստուգեք, որ յուրաքանչյուր ընտրանք պահպանում է ձեզ անհրաժեշտ հատկությունները։ Առանց յուրաքանչյուր օգտատիրոջ ինքնության ընդհանուր վկայականը մեկ հավատարմագիր է բոլորի համար, ովքեր ունեն այն։ Չեղարկումը նույնպես պետք է աշխատի առաջին օրվանից, ինչը Community OpenVPN-ում նշանակում է crl-verify-ի հղած CRL ֆայլ և գործընթաց, որը վերարտադրում է այն։

Պլանավորեք գրանցումը անցումից առաջ, ոչ հետո։ Նոր վկայականները, փորձարկված չեղարկման ուղին և մեկ մարդուն անջատելու փաստաթղթավորված եղանակը նախապայմաններ են, ոչ թե հետագա աշխատանք։ Եթե բազմագործոն նույնականացումը եկել է հին ապրանքի ինտեգրումից, հստակ նշեք փոխարինողը, որովհետև չտեղադրված պլագինը փակ վիճակում ձախողվում է ամենավատ պահին։

Երթուղավորումը և անունների լուծումը հետևում են կոնֆիգուրացիան գրողին

Երթուղիները, DNS կարգավորումները և ամբողջական թունելի վարքը ուղարկված ընտրանքներ են երկու ապրանքներում, բայց միայն մեկն է հաշվարկում դրանք ձեր փոխարեն։ Community OpenVPN-ում դուք ինքներդ եք գրում push հրահանգները, որոշում եք՝ redirect-gateway-ը պատկանում է սերվերին թե հաճախորդին, և հաստատում եք, որ հոսթում կան փոխանցում և NAT։ Ավարտված ձեռքսեղմումը ոչինչ չի ասում փոխանցման, հասցեների թարգմանության կամ այն երթուղիների մասին, որոնք հաճախորդը իրականում ստացել է։

Յուրաքանչյուր հաճախորդի վարքը պահանջում է client-config-dir և հաճախորդի վկայականի common name-ով անվանված ֆայլ, իսկ կայք-կայք զույգը պահանջում է iroute գրառումներ դրա հետևում գտնվող նախադրյալների համար։ Եթե անվանումը սխալ է, ընտրանքները անտեսվում են առանց սխալի։ Փորձարկեք մեկ ոչ արտադրական հաճախորդով իր սեփական հասցեների լողավազանում, ապա կարդացեք նրան տրված հասցեն, ստացված երթուղիները և այն լուծիչի կարգավորումները, որոնցով նա ավարտեց։

Հերթականացրեք անցումը, որպեսզի հին ծառայությունը կարողանա վերադառնալ

Գործարկեք նոր լսողը այլ պորտում կամ հասցեում, և պահեք հինը երթևեկություն սպասարկելիս, քանի դեռ ապացուցում եք փոխարինումը։ Երկու դեմոն մեկ սոկետի վրա վերադարձի պլան չէ։

Տեղափոխեք մեկ խումբ միաժամանակ՝ իր վկայականներով, իր լողավազանով և իր երթուղիներով, և փորձարկեք վերադարձի ուղին, այլ ոչ թե հայտնաբերեք այն միջադեպի ընթացքում։ Վերադարձը, որը աշխատում է միայն եթե նոր ծառայությունը նախ կանգնեցվի, դեռ վերադարձ է, բայց այն պետք է փորձարկվի, երբ ոչինչ չի այրվում։

Վերջում թվարկեք ուղղակի համարժեք չունեցող հատկանիշները և գրավոր որոշեք յուրաքանչյուրի ճակատագիրը՝ ինքնասպասարկման պրոֆիլի ներբեռնում, յուրաքանչյուր օգտատիրոջ թույլտվության դրոշներ, հենց կառավարման միջերեսը, կենդանի կապերի հաշվետվություն։ Դրանք փաստաթղթավորված ձեռքով գործընթացով փոխարինելը օրինական պատասխան է։ Տողը դատարկ թողնելը՝ ոչ։

Աշխատանքը ավարտված է, երբ օգտատերը, ով երբեք չի տեսել հին պորտալը, կարող է գրանցվել, միանալ, հասնել նախատեսված ներքին հասցեին և մաքուր չեղարկվել։ Ամեն ինչ դրանից առաջ նախապատրաստություն է։