Skipuleggja viðhaldsglugga OpenVPN án þess að missa hýsilinn

Endurræsing VPN-þjónustunnar endar hverja setu sem notar hana, svo glugginn verður að byggjast í kringum samræður en ekki í kringum pakkastjórann. Notendur þurfa nægjanlegt fyrirvara til að klára viðkvæma vinnu, og þú þarft leið til baka sem ekki er háð göngunum sem þú ert að fara að stöðva. Allt annað í handbókinni er til að gera þessar tvær staðreyndir viðráðanlegar. Sleppaðu öðru hvoru og venjubundin uppfærsla verður truflun án útgöngu.

Röðin hér að neðan er viljandi: hvert stig framleiðir eitthvað sem næsta stig þarf, og hvaða stig sem er getur endað breytinguna áður en hún byrjar.

Skráðu þjónustuna sem er til áður en þú breytir henni

Lestu uppsettu eininguna frekar en þá sem þú manst eftir að hafa skrifað: systemctl cat [email protected] prentar eininguna og hvaða drop-in sem er, og systemctl show [email protected] -p ExecStart -p User -p WorkingDirectory sýnir hvað raunverulega keyrir og undir hvaða auðkenni. Spurðu tvíundaskrána sem einingin nefnir, því openvpn --version úr skel getur leyst í aðra byggingu. Skráðu slóð sniðsins og hverja skrá sem það vísar á.

Taktu eftir hlustunarsósunum líka: ss -lunp | grep 1194 segir þér hvaða vistfang og samskiptareglu púkinn á í dag. Ef svarið er ekki það sem sniðið bendir til, þá hnekkir drop-in eða umhverfisskrá því, og uppfærslan erfir þá óvæntu uppákomu.

Settu saman endurheimtusett sem einhver annar gæti notað

Endurheimtusettið verður að vera nothæft fyrir samstarfsmann klukkan 03:00 án samhengis þíns. Láttu fylgja virku stillingarnar með hverri tilvísunarskrá, traust- og afturköllunarefnið undir stjórn PKI-eigandans, úthlutanir og krókar fyrir hvern biðlara, og nákvæmar útgáfur pakkanna sem eru uppsettar í dag. Afrit af einu skráarnafni er ekki stilling. Geymdu það þar sem vakthafandi stjórnandi kemst að því án VPN.

Aðgangsstýringar gilda líka um það sett, því það inniheldur einkalykla eða backend-innskráningargögn. Endurbyggðu ekki CA og endurútgefðu ekki auðkenni bara af því að pakkaútgáfa breyttist.

Æfðu á tilraunahlustun með raunverulegum biðlara

Keyrðu frambjóðandaútgáfuna á aðskildri hlustun með eigin tengi- og vistfangstáætlun, ekki við hlið framleiðslunýtunnar á sama sási. Tengstu með þeim biðlaravélum sem notendur þínir keyra í raun, þar á meðal hinum óþægilegu. Athugaðu vistfangsúthlutun, ýtt DNS, eitt forrit sem skiptir máli og eina slóð sem á að vera lokuð áfram. Sérsniðnir krókar verða að keyra í raunverulegu forréttinda- og skráarkerfissamhengi þjónustunnar, því root-skel sannar ekkert um þá.

Lestu útgáfuskýringarnar fyrir hegðunarbreytingar, ekki bara nýja eiginleika. Sjálfgefin gildi dulritunar og TLS færast á milli útgáfa, og snið sem enn þáttar sig getur samt mistekist í handabandi. Ef uppfærslan þarf sniðs- eða vottorðsbreytingar skaltu skipuleggja það sem eigið skref í stað þess að pakka því inn í pakkaupfærsluna.

Skiptu yfir einu sinni, af slóð utan ganganna

Byrjaðu glugginn af stjórnborði eða stjórnneti sem fer ekki í gegnum þjónustuna. Staðfestu að notendur hafi verið látnir vita og að annar stjórnandi viti hvernig á að fara til baka. Beittu undirbúnu breytingunni í gegnum eiganda hennar, endurræstu svo með sudo systemctl restart [email protected] og fylgdu dagbókinni með journalctl -u openvpn-server@office -b -f. Endurhleðsla nægir þegar aðeins einingarskilgreiningar breyttust; breytt snið krefst þess að ferlið sé endurræst.

Búðu þig við að hver biðlari tengist aftur, og búðu þig við að sumar forritasetur haldi ekki áfram. Samræmdu hreint hlé með vinnuálaginu sem þolir það ekki.

Samþykktu eða farðu til baka, og segðu notendum svo hvað breyttist

Samþykki er ný innskráning auk raunverulegrar aðgerðar auk takmarkananna sem enn gilda. Virk eining og græn stöðulína eru staðreyndir ferlisins. Ef viðmiðin mistakast innan gluggans skaltu fara til baka með undirbúnu aðferðinni, ekki með því að endurheimta eina skrá og vona; breytt tvíundaskrá eða þjónustustefna lifir endurheimt stillingar af. Varðveittu hverja afturköllunar- eða heimildarbreytingu sem gerð var í glugganum svo bakfærslan ógildi ekki öryggisvinnu.

Skráðu útgáfurnar, sniðsbreytingarnar og samþykkisniðurstöðurnar fyrir næsta stjórnanda, taktu tilraunahlustunina úr notkun og segðu notendum hvaða snið þeir eigi að nota núna. Gluggi sem endar án þeirrar athugasemdar er rifinn upp aftur við næstu uppfærslu.