OpenVPN-ի պահպանման պատուհանի պլանավորում՝ առանց հոսթը կորցնելու

VPN ծառայության վերագործարկումը դադարեցնում է այն օգտագործող յուրաքանչյուր սեսիա, ուստի պատուհանը պետք է կառուցել զրույցների շուրջ, ոչ թե փաթեթների կառավարչի շուրջ։ Օգտատերերին պետք է բավական ծանուցում զգայուն աշխատանքն ավարտելու համար, իսկ ձեզ պետք է վերադարձի ճանապարհ, որը կախված չէ այն թունելից, որը պատրաստվում եք կանգնեցնել։ Ձեռնարկի մնացած ամեն ինչ գոյություն ունի, որպեսզի այդ երկու փաստերը կառավարելի լինեն։ Բաց թողեք դրանցից մեկը, և սովորական թարմացումը կդառնա ելք չունեցող ընդհատում։

Ստորև հերթականությունը դիտավորյալ է. յուրաքանչյուր փուլ ստեղծում է մի բան, որ պետք է հաջորդին, և ցանկացած փուլ կարող է ավարտել փոփոխությունը մինչև այն սկսվելը։

Գրանցեք գոյություն ունեցող ծառայությունը նախքան այն փոխելը

Կարդացեք տեղադրված միավորը, ոչ թե այն, որը հիշում եք, թե գրել եք. systemctl cat [email protected] տպում է միավորը և ցանկացած drop-in, իսկ systemctl show [email protected] -p ExecStart -p User -p WorkingDirectory ցույց է տալիս, թե ինչ է իրականում աշխատում և ում անունից։ Հարցրեք այն բինարը, որը նշում է այդ միավորը, որովհետև shell-ից openvpn --version կարող է լուծվել մեկ այլ build-ի։ Գրանցեք պրոֆիլի ուղին և յուրաքանչյուր ֆայլ, որին այն հղում է։

Ուշադրություն դարձրեք նաև լսող սոքեթներին. ss -lunp | grep 1194 ասում է, թե այսօր որ հասցեն և արձանագրությունն է պատկանում դեմոնին։ Եթե պատասխանը այն չէ, ինչ առաջարկում է պրոֆիլը, ապա drop-in-ը կամ միջավայրի ֆայլն է գերակայում, և թարմացումը կժառանգի այդ անակնկալը։

Հավաքեք վերականգնման հավաքածու, որը կարող է օգտագործել մեկ ուրիշը

Վերականգնման հավաքածուն պետք է օգտագործելի լինի գործընկերոջ համար ժամը 03:00-ին՝ առանց ձեր համատեքստի։ Ներառեք գործող կոնֆիգուրացիան յուրաքանչյուր հղված ֆայլով, PKI-ի սեփականատիրոջ վերահսկողության տակ գտնվող վստահության և չեղարկման նյութը, յուրաքանչյուր կլիենտի հատկացումներն ու hook-երը, և այսօր տեղադրված ճշգրիտ փաթեթների տարբերակները։ Մեկ ֆայլի անվան պատճենը կոնֆիգուրացիա չէ։ Պահեք այն այնպիսի տեղում, որտեղ հերթապահ օպերատորը կարող է հասնել առանց VPN-ի։

Մուտքի վերահսկիչները վերաբերում են նաև այդ հավաքածուին, որովհետև այն պարունակում է մասնավոր բանալիներ կամ backend-ի հավատարմագրեր։ Մի վերակառուցեք CA-ն և մի վերաթողարկեք ինքնությունները միայն այն պատճառով, որ փաթեթի տարբերակը փոխվել է։

Փորձարկեք փորձնական լսողի վրա իրական կլիենտով

Գործարկեք թեկնածու թողարկումը առանձին լսողի վրա՝ իր սեփական պորտի և հասցեների պլանով, ոչ թե արտադրական օրինակի կողքին նույն սոքեթում։ Միացեք այն կլիենտ շարժիչներով, որոնք ձեր օգտատերերը իրականում գործարկում են, ներառյալ անհարմարը։ Ստուգեք հասցեի հատկացումը, հրված DNS-ը, մեկ կարևոր հավելված և մեկ ուղի, որը պետք է արգելափակված մնա։ Հատուկ hook-երը պետք է աշխատեն ծառայության իրական արտոնությունների և ֆայլային համակարգի համատեքստում, քանի որ root shell-ը նրանց մասին ոչինչ չի ապացուցում։

Կարդացեք թողարկման նշումները վարքագծի փոփոխությունների համար, ոչ միայն նոր գործառույթների։ Գաղտնագրման և TLS-ի լռելյայն արժեքները տեղաշարժվում են տարբերակների միջև, և դեռ վերլուծվող պրոֆիլը դեռ կարող է ձախողել ձեռքսեղմումը։ Եթե թարմացումը պահանջում է պրոֆիլի կամ վկայագրի փոփոխություններ, պլանավորեք դա որպես առանձին քայլ՝ փաթեթի թարմացմանը միացնելու փոխարեն։

Անցում կատարեք մեկ անգամ՝ թունելից դուրս գտնվող ուղուց

Սկսեք պատուհանը վահանակից կամ կառավարման ցանցից, որը չի անցնում ծառայության միջով։ Համոզվեք, որ օգտատերերը տեղեկացված են, և երկրորդ օպերատորը գիտի, թե ինչպես հետ գլորել։ Կիրառեք նախապատրաստված փոփոխությունը դրա սեփականատիրոջ միջոցով, ապա վերագործարկեք sudo systemctl restart [email protected]-ով և հետևեք մատյանին journalctl -u openvpn-server@office -b -f-ով։ Վերաբեռնումը բավարար է, երբ փոխվել են միայն միավորի սահմանումները. փոփոխված պրոֆիլը պահանջում է գործընթացի վերագործարկում։

Սպասեք, որ յուրաքանչյուր կլիենտ նորից միանա, և սպասեք, որ որոշ հավելվածային սեսիաներ չշարունակվեն։ Համաձայնեցրեք մաքուր դադար այն աշխատանքային բեռների հետ, որոնք չեն հանդուրժում դա։

Ընդունեք կամ հետ գլորեք, ապա ասեք օգտատերերին, թե ինչ փոխվեց

Ընդունումը թարմ մուտք է՝ գումարած իրական գործողություն, գումարած դեռ ուժի մեջ գտնվող սահմանափակումները։ Ակտիվ միավորը և կանաչ կարգավիճակի տողը գործընթացի փաստեր են։ Եթե չափանիշները ձախողվեն պատուհանի ներսում, հետ գլորեք նախապատրաստված մեթոդով, ոչ թե մեկ ֆայլ վերականգնելով և հուսալով. փոփոխված բինարը կամ ծառայության քաղաքականությունը վերապրում է կոնֆիգուրացիայի վերականգնումը։ Պահպանեք պատուհանի ընթացքում արված ցանկացած չեղարկման կամ լիազորման փոփոխություն, որպեսզի հետ գլորելը չչեղարկի անվտանգության աշխատանքը։

Գրանցեք տարբերակները, պրոֆիլի փոփոխությունները և ընդունման արդյունքները հաջորդ օպերատորի համար, դուրս բերեք փորձնական լսողին և ասեք օգտատերերին, թե որ պրոֆիլն օգտագործել հիմա։ Այդ գրառումով չավարտվող պատուհանը նորից քննարկվում է հաջորդ թարմացման ժամանակ։