OpenVPN-ის ტექნიკური ფანჯრის დაგეგმვა ჰოსტის დაკარგვის გარეშე

VPN სერვისის გადატვირთვა ამთავრებს მის ყველა სესიას, ამიტომ ფანჯარა საუბრების გარშემო უნდა აშენდეს და არა პაკეტების მმართველის გარშემო. მომხმარებლებს სჭირდებათ საკმარისი შეტყობინება მგრძნობიარე სამუშაოს დასასრულებლად, თქვენ კი გჭირდებათ დაბრუნების გზა, რომელიც არ არის დამოკიდებული იმ გვირაბზე, რომლის გაჩერებასაც აპირებთ. სახელმძღვანელოში დანარჩენი ყველაფერი იმისთვისაა, რომ ეს ორი ფაქტი მართვადი გახდეს. გამოტოვეთ რომელიმე და რუტინული განახლება გადაიქცევა გასასვლელის გარეშე შეწყვეტად.

ქვემოთ მოცემული თანმიმდევრობა განზრახ არჩეულია: ყოველი ეტაპი ქმნის იმას, რაც შემდეგს სჭირდება, და ნებისმიერ ეტაპს შეუძლია შეცვლა დაასრულოს სანამ დაიწყება.

ჩაიწერე არსებული სერვისი სანამ შეცვლი

წაიკითხე დაყენებული ერთეული და არა ის, რომელიც გახსოვს რომ დაწერე: systemctl cat [email protected] ბეჭდავს ერთეულს და ყველა drop-in-ს, ხოლო systemctl show [email protected] -p ExecStart -p User -p WorkingDirectory გიჩვენებთ რა მუშაობს სინამდვილეში და რომელი იდენტობით. ჰკითხე იმ ბინარს, რომელსაც ეს ერთეული ასახელებს, რადგან ჭურვიდან openvpn --version შეიძლება სხვა ბილდზე გადაწყდეს. ჩაწერე პროფილის გზა და ყოველი ფაილი, რომელზეც ის მიუთითებს.

ყურადღება მიაქციე მოსმენის სოკეტებსაც: ss -lunp | grep 1194 გეუბნებათ რომელი მისამართი და პროტოკოლი ეკუთვნის დემონს დღეს. თუ პასუხი არ არის ის, რასაც პროფილი გვთავაზობს, მაშინ drop-in ან გარემოს ფაილი უპირატესობს და განახლება ამ სიურპრიზს მემკვიდრეობით მიიღებს.

შექმენი აღდგენის ნაკრები, რომელსაც სხვა გამოიყენებდა

აღდგენის ნაკრები უნდა იყოს გამოსაყენებელი კოლეგისთვის 03:00 საათზე თქვენი კონტექსტის გარეშე. შეიტანე მოქმედი კონფიგურაცია ყოველ მითითებულ ფაილთან ერთად, ნდობისა და გაუქმების მასალა PKI-ის მფლობელის კონტროლის ქვეშ, თითოეული კლიენტის გამოყოფები და hook-ები, და დღეს დაყენებული პაკეტების ზუსტი ვერსიები. ერთი ფაილის სახელის ასლი კონფიგურაცია არ არის. შეინახე იქ, სადაც მორიგე ოპერატორი VPN-ის გარეშე მიაღწევს.

წვდომის კონტროლი ამ ნაკრებსაც ეხება, რადგან ის შეიცავს პირად გასაღებებს ან backend-ის სერტიფიკატებს. ნუ აღადგენ CA-ს და ნუ გასცემ იდენტობებს ხელახლა მხოლოდ იმიტომ, რომ პაკეტის ვერსია შეიცვალა.

ივარჯიშე საცდელ მსმენელზე რეალური კლიენტით

გაუშვი კანდიდატი გამოშვება ცალკე მსმენელზე საკუთარი პორტისა და მისამართის გეგმით, და არა წარმოების ინსტანციის გვერდით იმავე სოკეტზე. დაუკავშირდი იმ კლიენტის ძრავებით, რომლებსაც თქვენი მომხმარებლები რეალურად იყენებენ, მათ შორის უხერხულით. შეამოწმე მისამართის მინიჭება, გაგზავნილი DNS, ერთი მნიშვნელოვანი აპლიკაცია და ერთი გზა, რომელიც დაბლოკილი უნდა დარჩეს. მორგებული hook-ები უნდა მუშაობდეს სერვისის რეალურ უფლებამოსილებისა და ფაილური სისტემის კონტექსტში, რადგან root-ჭურვი მათზე არაფერს ამტკიცებს.

წაიკითხე გამოშვების შენიშვნები ქცევის ცვლილებებისთვის და არა მხოლოდ ახალი ფუნქციებისთვის. შიფრისა და TLS-ის ნაგულისხმევი მნიშვნელობები ვერსიებს შორის იცვლება, და ჯერ კიდევ გაანალიზებადი პროფილი მაინც შეიძლება ჩავარდეს ხელის ჩამორთმევაში. თუ განახლებას სჭირდება პროფილის ან სერტიფიკატის ცვლილებები, დაგეგმე ის ცალკე ნაბიჯად და არ ჩასვა პაკეტის განახლებაში.

გადართე ერთხელ, გვირაბის გარეთ მდებარე გზიდან

დაიწყე ფანჯარა კონსოლიდან ან მართვის ქსელიდან, რომელიც სერვისს არ კვეთს. დაადასტურე, რომ მომხმარებლები გაფრთხილებულნი არიან და მეორე ოპერატორმა იცის როგორ დააბრუნოს. გამოიყენე მომზადებული ცვლილება მისი მფლობელის მეშვეობით, შემდეგ გადატვირთე sudo systemctl restart [email protected]-ით და თვალი ადევნე ჟურნალს journalctl -u openvpn-server@office -b -f-ით. გადატვირთვა საკმარისია, როცა მხოლოდ ერთეულის განსაზღვრებები შეიცვალა; შეცვლილი პროფილი პროცესის გადატვირთვას მოითხოვს.

მოელოდე, რომ ყოველი კლიენტი ხელახლა დაუკავშირდება, და მოელოდე, რომ ზოგიერთი აპლიკაციის სესია არ გაგრძელდება. კოორდინაცია გაუკეთე სუფთა პაუზას იმ დატვირთვებთან, რომლებიც ამას ვერ იტანენ.

მიიღე ან დააბრუნე, შემდეგ უთხარი მომხმარებლებს რა შეიცვალა

მიღება ნიშნავს ახალ შესვლას პლუს რეალურ ოპერაციას პლუს ჯერ კიდევ მოქმედ შეზღუდვებს. აქტიური ერთეული და მწვანე სტატუსის ხაზი პროცესის ფაქტებია. თუ კრიტერიუმები ფანჯრის შიგნით ვერ სრულდება, დააბრუნე მომზადებული მეთოდით და არა ერთი ფაილის აღდგენითა და იმედით; შეცვლილი ბინარი ან სერვისის პოლიტიკა კონფიგურაციის აღდგენას გადაურჩება. შეინარჩუნე ფანჯრის დროს გაკეთებული ნებისმიერი გაუქმების ან ავტორიზაციის ცვლილება, რომ დაბრუნებამ უსაფრთხოების სამუშაო არ გააუქმოს.

ჩაწერე ვერსიები, პროფილის ცვლილებები და მიღების შედეგები შემდეგი ოპერატორისთვის, გაიყვანე საცდელი მსმენელი ექსპლუატაციიდან და უთხარი მომხმარებლებს რომელი პროფილი გამოიყენონ ახლა. ფანჯარა, რომელიც ამ ჩანაწერის გარეშე სრულდება, შემდეგ განახლებაზე ისევ განიხილება.