Access Server-тен Community OpenVPN-ке: нені қайта салу керек

Access Server мен Community OpenVPN бір протоколда сөйлейді, ал қалғанының барлығы дерлік бірдей емес. Қол алысу, шифр келіссөзі және туннельдің деректер жазықтығы үйлесімді, сондықтан клиент профилін өзгертпей-ақ екеуіне де қосыла алады. Айырмашылық конфигурация кімге тиесілі екенінде: бір өнім саясатты жазатын және орындайтын басқару қабатын әкеледі, екіншісі саған конфигурация файлы мен ілмектер жиынтығын береді және өзің шешуіңді күтеді.

Осы айырмашылық — көшіру жоспары. Ескі өнім сенің атыңнан шешкеннің бәрі жаңа орналастырудың бір жерінде айқын шешімге айналуы керек.

Екі орналастыру алмастырылмайтын жер

Access Server-де веб-әкімшілік интерфейсі пайдаланушыларға, топтарға, әр пайдаланушының рұқсаттарына, сертификат беруге және адам жүктейтін профиль бумасына ие. Астындағы демонды сол қабат конфигурациялайды, сондықтан жұмыс істеп тұрған қызмет қолмен сирек өңдейтін сақталған күйдің нәтижесі. Community OpenVPN-де конфигурация файлы — күйдің өзі: ол тыңдаушыны, сертификат органын, аутентификация ілмегін және әрбір жіберілетін опцияны атайды, және ешнәрсе оны сенің орнына қайта жазбайды. Сол TLS механизмі екі мүлде басқа меншік моделінің астында тұр.

Қысқа сәйкестендіру алшақтықты нақты етеді. Пайдаланушылар мен топтар тек ескі дерекқорда бар, оларды қайта жасамайынша. Профиль бумалары конфигурация файлы және өзің тарататын сертификаттарға айналады. Әр пайдаланушының рұқсаттары client-config-dir ішіндегі директиваларға айналады. Әкімшілік интерфейсі сертификат беру және файлдарды өңдеу үшін өзің таңдаған процеске айналады.

Серверге тиюден бұрын сол сәйкестендіруді жазып қой. Толтыра алмайтын әр жол — дәл қазір жоғалтатын мүмкіндік, ал үнсіз жоғалту көшіруді екі аптадан кейін үзіліске айналдыратын жол.

Сәйкестік сертификат файлдарымен бірге өтпейді

Ескі органның сертификаттары жаңа қызметте дұрыс талданып, бәрібір қате сәйкестік болуы мүмкін, өйткені ескі өнім оларды жаңасы көре алмайтын есептік жазба күйімен жұптастырған. Алдымен жаңа орналастыру тек сертификатпен, PAM немесе RADIUS-қа жететін плагинмен, әлде олардың қосындысымен аутентификациялайтынын шеш, содан кейін әр нұсқа қажет қасиеттерді сақтайтынын тексер. Әр пайдаланушының сәйкестігі жоқ ортақ сертификат — оны ұстағандардың бәріне бір тіркелгі. Кері қайтару да бірінші күннен жұмыс істеуі керек, бұл Community OpenVPN-де crl-verify сілтейтін CRL файлы және оны қайта жасайтын процесс деген сөз.

Тіркелуді ауысудан бұрын жоспарла, кейін емес. Жаңа сертификаттар, сыналған кері қайтару жолы және бір адамды өшірудің құжатталған тәсілі — алғышарттар, кейінгі жұмыс емес. Егер көп факторлы аутентификация ескі өнімнің интеграциясынан келсе, орынбасарды анық ата, өйткені орнатылмаған плагин ең нашар сәтте жабық күйде сәтсіздікке ұшырайды.

Маршруттау мен атауларды шешу конфигурацияны жазғанға бағынады

Маршруттар, DNS параметрлері және толық туннель мінез-құлқы екі өнімде де жіберілетін опциялар, бірақ оларды сенің үшін тек біреуі есептейді. Community OpenVPN-де push директиваларын өзің жазасың, redirect-gateway серверге ме әлде клиентке ме тиесілі екенін шешесің және хостта қайта жіберу мен NAT бар екенін растайсың. Аяқталған қол алысу қайта жіберу, мекенжай аудармасы немесе клиент шын мәнінде алған маршруттар туралы ештеңе айтпайды.

Әр клиенттің мінез-құлқы үшін client-config-dir және клиент сертификатының common name атымен аталған файл қажет, ал сайт аралық жұп үшін артындағы префикстерге iroute жазбалары қажет. Аты қате болса, опциялар қатесіз елемейді. Өндірістік емес бір клиентпен өз мекенжай пулында сынап көр, содан кейін оған берілген мекенжайды, алған маршруттарын және аяқтаған resolver параметрлерін оқы.

Ауысуды ескі қызмет қайта оралатындай ретке келтір

Жаңа тыңдаушыны басқа портта немесе мекенжайда іске қос, ал ауыстыруды дәлелдегенше ескісі трафикті қызмет көрсетіп тұрсын. Бір сокетте екі демон — кері қайтару жоспары емес.

Бір топты бір уақытта, өз сертификаттарымен, өз пулымен және өз маршруттарымен жылжыт, және қайту жолын оқиға кезінде таппай, алдын ала машықтан. Жаңа қызметті алдымен тоқтатпай жұмыс істемейтін кері қайтару да кері қайтару, бірақ оны ештеңе жанбай тұрғанда сынау керек.

Соңында тікелей баламасы жоқ мүмкіндіктерді тізіп, әрқайсысының тағдырын жазбаша шеш: өзіне-өзі қызмет көрсету профилін жүктеу, әр пайдаланушының рұқсат жалаушалары, әкімшілік интерфейсінің өзі, тірі қосылымдар есебі. Оларды құжатталған қолмен процесспен алмастыру — заңды жауап. Жолды бос қалдыру олай емес.

Жұмыс ескі порталды ешқашан көрмеген пайдаланушы тіркеліп, қосылып, көзделген ішкі мекенжайға жетіп, таза түрде кері қайтарыла алатын кезде бітеді. Оған дейінгінің бәрі дайындық.