Uppsetning OpenVPN-biðlara í áföngum sem stöðvast við villu

Uppsetningarskript sem tilkynna villu og halda áfram eru verri en skript sem keyra aldrei. Uppsetning biðlarans snertir varða lykla, auðkenni við gáttina og þjónustu sem kann þegar að þjóna umferð. Hvert þessara þarf stöðvunarskilyrði, og skriptið verður að vita hvaða áfanga það náði þegar það stöðvaðist.

Meðhöndlaðu allt sem eina færslu með fimm eftirlitsstöðum, og láttu hvern eftirlitsstað neita að halda áfram af sjálfum sér.

Lagaðu inntakið áður en þú snertir skráakerfið

Byrjaðu á skýrum samningi: eitt auðkenni, ein uppspretta sniðs, einn ætlaður þjónustueigandi. Sannprófaðu að sniðið sé til, að skírteinið og lykillinn sem það vísar í séu læsileg, og að markmöppan tilheyri væntanlegu pakkanum. Slóð sem leysist er ekki sönnun þess að efnið á bak við hana sé heilt.

Hafnaðu tómum breytum snemma. Óstillt $DEVICE sem þenst út í ekkert breytir install -m 400 $KEY /etc/openvpn/client/ í afrit sem beinist að möppu, og bilunin kemur síðar sem þjónusta sem getur ekki lesið lykilinn sinn.

Settu saman sniðmengið í undirbúningsmöppu

Byggðu fyrst fulla mengið á einkastað: snið, CA, biðlaraskírteini, lykill og hvaða hjálpartól sem sniðið kallar á. Afritaðu með install -m 400 -o root -g root svo heimildir séu settar við stofnun en ekki eftir á. Athugaðu síðan tilvísanirnar inni í sniðinu, því afstæð lína ca eða key leysist út frá vinnumöppu einingarinnar um leið og þjónustan byrjar. Ekkert á að skrifa í virku möppuna fyrr en allt mengið hefur verið sannprófað.

Skráðu óleynilegt fingrafar af því sem þessi keyrsla framleiddi, til dæmis sha256sum office.conf geymt við hlið útgáfumerkis. Það er einmitt þetta eina gildi sem gerir endurkeyrslu kleift að greina uppfærslu frá aðgerðarleysi.

Skiptu á atómskornu og haltu fyrra menginu

Færðu undirbúna mengið á sinn stað í einni aðgerð þar sem skráakerfið leyfir, og haltu yfirfarna fyrra menginu undir tímasettri nafn. Ófullkomið afrit sem skilur nýtt snið við hlið gamals lykils framleiðir þjónustu sem auðkennir sig með röngu auðkenni og skráir ekkert gagnlegt um ástæðuna. Ef skiptingin getur ekki verið atómskorn, raðaðu færslunum svo sniðið lendi síðast.

Þegar markið er þegar til staðar skaltu ákveða skýrt hvort þessi keyrsla er uppfærsla, nákvæm endurkeyrsla eða árekstur við snið annars tækis. Að yfirskrifa hljóðlega snið sem tilheyrir öðru auðkenni er leiðin sem tvær vélar enda á að deila einu skírteini. Hafnaðu keyrslunni í staðinn og nefndu eiganda árekstursins.

Virkjaðu einn eiganda og sannaðu það

Veldu eina virkjunarleið, annaðhvort systemd-tilvikið eða NetworkManager, og notaðu hana stöðugt. Ræsing óstýrðs openvpn ferlis við hlið virkjaðrar einingar gefur tvo göng, keppandi DNS-uppfærslur og ekkert skýrt svar um hvorum stöðvunarskipunin beinist að. Eftir virkjun skaltu athuga systemctl is-active openvpn-client@office, þá leiðina að fjarlæga forskeytinu, þá resolvectl status fyrir uppflettinguna sem göngin settu upp. Ljúktu með því að ná í eina auðlind sem göngin eru til fyrir.

Keyrandi ferli og grænt tákn í bakkanum eru staðreyndir um ferlið, ekki sönnun þess að auðkennið og umferðarstefnan hafi lifað af afhendinguna.

Endurkeyrsla og niðurfelling eru aðskildir vinnuferlar

Önnur keyrsla ætti að renna saman að sömu yfirförnu skrám og sama eiganda, ekki stofna annan reikning eða annan þjón. Niðurfelling er sitt eigið ferli: stöðvaðu nákvæma eigandann, settu staðbundið snið í geymslu eða eyddu því samkvæmt stefnu, og afturkallaðu auðkennið við gáttina. Að eyða staðbundinni lykilskrá afturkallar ekki afrit sem þegar hefur yfirgefið vélina.

Haltu endurheimtarleið sem er ekki háð göngunum, svo sem aðgangi að stjórnborði eða annarri stjórnleið. Uppsetningarbreyting sem læsir þér úti úr vélinni er misheppnuð breyting jafnvel þótt hver áfangi hafi tilkynnt árangur.

Skriptið sem er þess virði að halda er færsla um eignarhald og sannanir. Stuttur listi forréttindaveittra afritunarskipana er ekki sama málið.