Frá Access Server til Community OpenVPN: hvað þarf að byggja upp aftur

Access Server og Community OpenVPN tala sama samskiptamáta og nánast ekkert annað á sama hátt. Handabandið, samningaviðræður um dulritun og gagnasvið göngunnar eru samhæf, svo biðlari getur oft tengst hvorugu þeirra án þess að breyta sniðinu sínu. Munurinn er hver á stillingarnar: önnur varan fylgir með stjórnunarlagi sem skrifar og framfylgir stefnu, hin gefur þér stillingarskrá og sett af krókum og ætlast til að þú ákveðir.

Sá munur er flutningsáætlunin. Allt sem gamla varan ákvað fyrir þig verður að verða skýr ákvörðun einhvers staðar í nýju uppsetningunni.

Hvar uppsetningarnar hætta að vera skiptanlegar

Í Access Server á vefstjórnviðmótið notendur, hópa, heimildir fyrir hvern notanda, útgáfu skírteina og skírteinapakkann sem einhver sækir. Þjónninn undir er stilltur af því lagi, svo þjónustan sem keyrir er afurð geymds ástands sem þú ritstýrir sjaldan handvirkt. Í Community OpenVPN er stillingarskráin ástandið: hún nefnir hlustandann, skírteinayfirvöldin, auðkenningarkrókinn og hvern þann valkost sem er ýtt út, og ekkert endurskrifar hana fyrir þig. Sama TLS-vélin stendur því undir tveimur mjög ólíkum eignarlíkönum.

Stutt kortlagning gerir bilið áþreifanlegt. Notendur og hópar eru aðeins í gamla gagnagrunninum þar til þú býrð þá til aftur. Skírteinapakkar verða stillingarskrá auk skírteina sem þú dreifir sjálfur. Heimildir fyrir hvern notanda verða forskriftir í client-config-dir. Stjórnviðmótið verður hvaða ferli sem þú velur til að gefa út skírteini og breyta skrám.

Skrifaðu þá kortlagningu niður áður en þú snertir þjón. Sérhver röð sem þú getur ekki fyllt er eiginleiki sem þú ert um það bil að missa, og að missa hann hljóðlaust er leiðin sem flutningur verður bilun tveimur vikum síðar.

Auðkenni flytjast ekki með skírteinaskránum

Skírteini frá gömlu yfirvöldunum geta þerst rétt í nýju þjónustunni og verið samt rangt auðkenni, því gamla varan paraði þau við reikningsástand sem nýja sér ekki. Ákveddu fyrst hvort nýja uppsetningin auðkennir aðeins með skírteini, með viðbót sem nær til PAM eða RADIUS, eða með blöndu, og athugaðu svo að hver valkostur varðveiti þá eiginleika sem þú þarft. Sameiginlegt skírteini án auðkennis fyrir hvern notanda er ein skilríki fyrir alla sem hafa það. Afturköllun verður líka að virka frá fyrsta degi, sem í Community OpenVPN þýðir CRL-skrá sem crl-verify vísar í auk ferlis sem endurnýjar hana.

Skipuleggðu skráningu fyrir skiptinguna, ekki eftir hana. Ný skírteini, prófuð afturköllunarleið og skjalfest leið til að slökkva á einum einstaklingi eru forsenda, ekki eftirvinna. Ef fjölþátta auðkenning kom frá samþættingu gömlu vörunnar, nefndu staðgengilinn skýrt, því viðbót sem er ekki uppsett bregst lokuð á versta mögulega augnabliki.

Leiðir og nafnaupplausn fylgja þeim sem skrifar stillingarnar

Leiðir, DNS-stillingar og hegðun fullrar göngu eru útýttir valkostir í báðum vörum, en aðeins önnur reiknar þá fyrir þig. Í Community OpenVPN skrifar þú push-forskriftirnar sjálfur, ákveður hvort redirect-gateway tilheyrir þjóninum eða biðlinum og staðfestir að sending og NAT séu til á hýsilnum. Lokið handaband segir þér ekkert um sendingu, vistfangsþýðingu eða þær leiðir sem biðlarinn fékk í raun.

Hegðun fyrir hvern biðlara krefst client-config-dir auk skráar sem heitir eftir common name skírteinis biðlarans, og pör milli staða krefjast iroute-færslna fyrir forskeytin að baki. Ef nafngiftin er röng eru valkostirnir hunsaðir án villu. Prófaðu með einum biðlara utan framleiðslu í hans eigin vistfangasafni og lestu svo vistfangið sem honum var úthlutað, leiðirnar sem hann fékk og upplausnarstillingarnar sem hann endaði með.

Raðaðu skiptingunni svo gamla þjónustan geti snúið aftur

Keyrðu nýja hlustandann á öðrum porti eða vistfangi og haltu gamla við að þjóna umferð meðan þú sannar staðgengilinn. Tveir þjónar á einum sökki eru ekki afturhvarfsáætlun.

Færðu einn hóp í einu, með eigin skírteinum, eigin safni og eigin leiðum, og æfðu afturleiðina í stað þess að uppgötva hana í miðri atburðarás. Afturhvarf sem virkar aðeins ef nýja þjónustan er stöðvuð fyrst er samt afturhvarf, en það verður að prófa það þegar ekkert er í logi.

Að lokum skráðu eiginleikana sem hafa ekki beina hliðstæðu og ákveddu örlög hvers um sig skriflega: sjálfsafgreiðslusnið sem sótt er, heimildarflögg fyrir hvern notanda, stjórnviðmótið sjálft, upplýsingar um tengingar í rauntíma. Að skipta þeim út fyrir skjalfest handvirkt ferli er lögmætt svar. Að láta röðina vera tóma er það ekki.

Verkinu er lokið þegar notandi sem sá gamla gáttina aldrei getur skráð sig, tengst, náð fyrirhuguðu innra vistfangi og verið afturkallaður hreint. Allt þar fyrir er undirbúningur.