Access Server-იდან Community OpenVPN-მდე: რა უნდა აშენდეს ხელახლა
Access Server ინახავს პოლიტიკას, Community OpenVPN კი გთხოვთ, თავად დაწეროთ იგი. ასახეთ იდენტობა, მარშრუტები და გაუქმება სერტიფიკატის კოპირებამდე.
Access Server და Community OpenVPN ერთ პროტოკოლზე საუბრობენ და თითქმის არაფერზე სხვაზე ერთნაირად. ხელის ჩამორთმევა, შიფრების მოლაპარაკება და გვირაბის მონაცემთა სიბრტყე თავსებადია, ამიტომ კლიენტს ხშირად შეუძლია ორივესთან დაკავშირება პროფილის რედაქტირების გარეშე. განსხვავება ისაა, თუ ვის ეკუთვნის კონფიგურაცია: ერთი პროდუქტი მოაქვს მართვის შრეს, რომელიც წერს და აღასრულებს პოლიტიკას, მეორე კი გაძლევთ კონფიგურაციის ფაილს და კაუჭების ნაკრებს და ელოდება, რომ თქვენ გადაწყვეტთ.
სწორედ ეს განსხვავებაა მიგრაციის გეგმა. ყველაფერი, რაც ძველმა პროდუქტმა თქვენი სახელით გადაწყვიტა, ახალ განლაგებაში სადღაც ცხად გადაწყვეტილებად უნდა იქცეს.
სად წყვეტენ ორი განლაგება ურთიერთშემცვლელობას
Access Server-ში ვებ ადმინისტრირების ინტერფეისი ფლობს მომხმარებლებს, ჯგუფებს, თითო მომხმარებლის უფლებებს, სერტიფიკატების გაცემას და იმ პროფილის პაკეტს, რომელსაც ადამიანი ჩამოტვირთავს. ქვედა დემონი ამ შრის მიერ კონფიგურირდება, ამიტომ მომუშავე სერვისი შენახული მდგომარეობის ნაყოფია, რომელსაც ხელით იშვიათად არედაქტირებთ. Community OpenVPN-ში კონფიგურაციის ფაილი თავად მდგომარეობაა: ის ასახელებს მსმენელს, სერტიფიკატების ორგანოს, ავთენტიფიკაციის კაუჭს და ყველა გაგზავნილ პარამეტრს, და ვერაფერი გადაწერს მას თქვენ ნაცვლად. იგივე TLS მანქანა ამგვარად ორ სრულიად განსხვავებულ საკუთრების მოდელს ქვეშ დგას.
მოკლე ასახვა ხვრელს ხელშესახებს ხდის. მომხმარებლები და ჯგუფები მხოლოდ ძველ ბაზაში არსებობენ, ვიდრე ხელახლა შექმნით. პროფილის პაკეტები ხდება კონფიგურაციის ფაილი და სერტიფიკატები, რომლებსაც თავად ავრცელებთ. თითო მომხმარებლის უფლებები ხდება დირექტივები client-config-dir-ში. ადმინისტრირების ინტერფეისი ხდება ის პროცესი, რომელსაც სერტიფიკატების გასაცემად და ფაილების რედაქტირებისთვის აირჩევთ.
ჩაწერეთ ეს ასახვა სერვერზე შეხებამდე. ყოველი სტრიქონი, რომელსაც ვერ შეავსებთ, თვისებაა, რომელსაც ახლა კარგავთ, და ჩუმად დაკარგვა ის გზაა, რომლითაც მიგრაცია ორ კვირაში შეფერხებად იქცევა.
იდენტობა სერტიფიკატის ფაილებთან ერთად არ გადადის
ძველი ორგანოს სერტიფიკატები ახალ სერვისში სწორად შეიძლება გაიშიფროს და მაინც არასწორი იდენტობა იყოს, რადგან ძველი პროდუქტი მათ ანგარიშის იმ მდგომარეობას უკავშირებდა, რომელსაც ახალი ვერ ხედავს. ჯერ გადაწყვიტეთ, ახალი განლაგება მხოლოდ სერტიფიკატით ავთენტიფიცირებს, PAM-ამდე ან RADIUS-ამდე მიმავალი დანამატით, თუ მათი კომბინაციით, შემდეგ შეამოწმეთ, რომ ყოველი ვარიანტი ინახავს თქვენთვის საჭირო თვისებებს. საერთო სერტიფიკატი თითო მომხმარებლის იდენტობის გარეშე ერთი სერტიფიკატია ყველასთვის, ვისაც ის აქვს. გაუქმებამ პირველივე დღიდან უნდა იმუშაოს, რაც Community OpenVPN-ში ნიშნავს CRL ფაილს, რომელზეც crl-verify მიუთითებს, და პროცესს, რომელიც მას ხელახლა ქმნის.
დაგეგმეთ რეგისტრაცია გადასვლამდე და არა შემდეგ. ახალი სერტიფიკატები, გამოცდილი გაუქმების გზა და ერთი ადამიანის გამორთვის დოკუმენტირებული ხერხი წინაპირობებია და არა შემდგომი სამუშაო. თუ მრავალფაქტორიანი ავთენტიფიკაცია ძველი პროდუქტის ინტეგრაციიდან მოვიდა, ცხადად დაასახელეთ შემცვლელი, რადგან დაუყენებელი დანამატი დახურულად ფუჭდება ყველაზე ცუდ მომენტში.
მარშრუტიზაცია და სახელების გადაწყვეტა კონფიგურაციის ავტორს მიჰყვება
მარშრუტები, DNS პარამეტრები და სრული გვირაბის ქცევა ორივე პროდუქტში გაგზავნილი პარამეტრებია, მაგრამ მხოლოდ ერთი ითვლის მათ თქვენთვის. Community OpenVPN-ში push დირექტივებს თავად წერთ, წყვეტთ, redirect-gateway სერვერს ეკუთვნის თუ კლიენტს, და ადასტურებთ, რომ ჰოსტზე გადაგზავნა და NAT არსებობს. დასრულებული ხელის ჩამორთმევა არაფერს გიყვებათ გადაგზავნაზე, მისამართების თარგმნაზე ან იმ მარშრუტებზე, რომლებიც კლიენტმა რეალურად მიიღო.
თითო კლიენტის ქცევას სჭირდება client-config-dir და ფაილი, დასახელებული კლიენტის სერტიფიკატის common name-ით, ხოლო საიტ-საიტ წყვილს სჭირდება iroute ჩანაწერები მის უკან მდგარი პრეფიქსებისთვის. თუ სახელი არასწორია, პარამეტრები უგულებელყოფილია შეცდომის გარეშე. გამოსცადეთ ერთი არასაწარმოო კლიენტით მის საკუთარ მისამართების აუზში, შემდეგ წაიკითხეთ მისთვის მინიჭებული მისამართი, მიღებული მარშრუტები და ის რეზოლვერის პარამეტრები, რომლებითაც დაასრულა.
დაალაგეთ გადასვლა ისე, რომ ძველ სერვისს დაბრუნება შეეძლოს
გაუშვით ახალი მსმენელი სხვა პორტზე ან მისამართზე და დატოვეთ ძველი ტრაფიკის მომსახურებაში, სანამ ჩანაცვლებას დაამტკიცებთ. ორი დემონი ერთ სოკეტზე დაბრუნების გეგმა არ არის.
გადაადგილეთ ერთი ჯგუფი ერთდროულად, მისი სერტიფიკატებით, მისი აუზით და მისი მარშრუტებით, და ივარჯიშეთ დაბრუნების გზაზე, ნაცვლად იმისა, რომ ინციდენტის დროს აღმოაჩინოთ. დაბრუნება, რომელიც მუშაობს მხოლოდ მაშინ, თუ ჯერ ახალი სერვისი შეჩერდება, მაინც დაბრუნებაა, მაგრამ ის უნდა გამოიცადოს მაშინ, როცა არაფერი იწვის.
დაბოლოს, ჩამოთვალეთ თვისებები, რომლებსაც პირდაპირი ეკვივალენტი არ აქვთ, და თითოეულის ბედი წერილობით გადაწყვიტეთ: თვითმომსახურე პროფილის ჩამოტვირთვა, თითო მომხმარებლის უფლების დროშები, თავად ადმინისტრირების ინტერფეისი, ცოცხალი კავშირების რეპორტი. მათი ჩანაცვლება დოკუმენტირებული ხელით პროცესით ლეგიტიმური პასუხია. სტრიქონის ცარილად დატოვება არა.
სამუშაო დასრულებულია, როცა მომხმარებელს, რომელსაც ძველი პორტალი არასდროს უნახავს, შეუძლია დარეგისტრირდეს, დაუკავშირდეს, მიაღწიოს განკუთვნილ შიდა მისამართს და სუფთად გაუქმდეს. ყველაფერი ამის წინ მომზადებაა.