Access Server から Community OpenVPN へ: 何を作り直すべきか

Access Server と Community OpenVPN は同じプロトコルを話し、それ以外はほとんど同じではありません。ハンドシェイク、暗号のネゴシエーション、トンネルのデータプレーンは互換なので、クライアントはプロファイルを編集せずにどちらにも接続できることがよくあります。違うのは設定の所有者です。一方はポリシーを書き込んで強制する管理レイヤーを提供し、もう一方は設定ファイルと一連のフックを渡して、あなたが決めることを期待します。

その違いが移行計画そのものです。古い製品があなたの代わりに決めたことは、新しい配備のどこかで明示的な決定にならなければなりません。

二つの配備が互換でなくなる場所

Access Server では、Web 管理画面がユーザー、グループ、ユーザーごとの権限、証明書の発行、そして人がダウンロードするプロファイルバンドルを所有します。その下のデーモンはそのレイヤーが設定するため、実行中のサービスは手でめったに編集しない保存状態の産物です。Community OpenVPN では設定ファイルが状態そのものです。リスナー、認証局、認証フック、送信するすべてのオプションを指定し、誰もあなたの代わりに書き換えません。同じ TLS の仕組みが、まったく異なる二つの所有モデルの下にあるのです。

短い対応表がその差を具体的にします。ユーザーとグループは作り直すまで古いデータベースにしか存在しません。プロファイルバンドルは設定ファイルと、あなた自身が配布する証明書になります。ユーザーごとの権限は client-config-dir 内のディレクティブになります。管理画面は、証明書の発行とファイル編集のためにあなたが選ぶプロセスになります。

サーバーに触れる前にその対応表を書き出してください。埋められない行は、これから失う機能です。黙って失うことが、移行を二週間後の障害に変える道です。

ID は証明書ファイルと一緒には移らない

古い認証局の証明書は新しいサービスで正しく解釈されても、間違った ID であることがあります。古い製品が、新しい側からは見えないアカウント状態と組み合わせていたからです。まず新しい配備が証明書だけで認証するのか、PAM や RADIUS に届くプラグインで認証するのか、その組み合わせなのかを決め、それぞれが必要な性質を保つか確認します。ユーザーごとの ID がない共有証明書は、持っている全員にとって一つの資格情報です。失効も初日から機能する必要があり、Community OpenVPN では crl-verify が参照する CRL ファイルと、それを再生成するプロセスを意味します。

登録は切り替えの前に計画し、後回しにしないでください。新しい証明書、試験済みの失効経路、一人を無効化する文書化された方法は前提条件であり、後続作業ではありません。多要素認証が古い製品の統合から来ていたなら、代替を明示してください。未導入のプラグインは最悪の瞬間に閉じて失敗します。

ルーティングと名前解決は設定を書く人に従う

ルート、DNS 設定、全トンネルの挙動はどちらの製品でも送信オプションですが、あなたのために計算するのは一方だけです。Community OpenVPN では push ディレクティブを自分で書き、redirect-gateway をサーバー側に置くかクライアント側に置くかを決め、ホストに転送と NAT があることを確認します。完了したハンドシェイクは、転送やアドレス変換、クライアントが実際に受け取ったルートについて何も教えてくれません。

クライアントごとの挙動には client-config-dir と、クライアント証明書の common name にちなんだ名前のファイルが必要で、サイト間ピアには背後のプレフィックスに対する iroute エントリが必要です。名前を間違えると、オプションはエラーも出さずに無視されます。本番でないクライアントを専用のアドレスプールで試し、割り当てられたアドレス、与えられたルート、最終的なリゾルバ設定を読み取ってください。

古いサービスが戻れるように切り替えを順序立てる

新しいリスナーは別のポートかアドレスで動かし、代替を証明する間は古い側がトラフィックを処理し続けるようにします。一つのソケットに二つのデーモンはロールバック計画ではありません。

一度に一グループずつ、独自の証明書、プール、ルートとともに移し、戻り道はインシデントの最中に発見するのではなく演習します。新しいサービスを先に止めなければ動かないロールバックもロールバックですが、何も燃えていないうちに試験する必要があります。

最後に、直接の同等物がない機能を列挙し、それぞれの運命を文書で決めます。セルフサービスのプロファイルダウンロード、ユーザーごとの権限フラグ、管理画面そのもの、ライブの接続レポートです。それらを文書化された手作業に置き換えるのは正当な答えです。行を空欄のままにするのは違います。

古いポータルを見たことのない人が登録し、接続し、意図した内部アドレスに到達し、きれいに失効できるようになったとき、作業は完了です。それ以前はすべて準備です。