OpenVPN құрылғысының маршруты: конфигурация иесі ме, әлде іске қосу скрипті ме?
Бір қайта жүктеуден өткен филиал маршруты GUI-ден сақтау немесе микробағдарлама жаңартуынан кейін де жоғалуы мүмкін. Қолдау көрсетілген конфигурация иесін патч скриптімен салыстырыңыз.
Сіз филиал маршрутын қосасыз, ол жұмыс істейді, содан кейін микробағдарлама жаңартуы немесе веб-интерфейстен сақтау оны жояды. Сол сәтте екі түзету бірдей орынды көрінеді: маршрутты құрылғының қолдау көрсетілген конфигурация көзіне қою немесе оны іске қосу скриптінен жасалған файлға қосу. Олар бір апта бойы бірдей әрекет етеді де, екінші жаңартуда ажырайды. Бұл мақала әрқайсысының шын мәнінде немен иеленетінін салыстырады.
Екі кандидат әртүрлі нәрселерге ие
Қолдау көрсетілген конфигурация көзі — құрылғы кіріс ретінде қарастыратын барлық нәрсе: GUI өрісі, импортталған профиль, әр клиент үшін құжатталған каталог, басқару пакеті оқитын параметрлер дерекқоры. Жасалған server.conf — шығыс. Шығысты өңдеу генератор қайта іске қосылғанша жұмыс істейді, бұл сақтауда, қайта жүктеуде және жаңартуда орын алады.
Скрипт тәсілі генератор аяқталғаннан кейін сол шығысты патчтайды. Бұл зертхана үшін заңды әдіс, және филиал кеңсесі үшін қате әдепкі, өйткені маршрутты құжатталған өріске емес, мәтін сәйкестігіне тәуелді етеді.
| Question | Supported config source | Post-generation script |
|---|---|---|
| Survives a GUI save | Yes | Only if the save does not regenerate the file |
| Survives a package upgrade | Usually, when the field is documented | No guarantee; the wrapper can be replaced |
| Supportable by the vendor | Yes | No |
| Obvious to the next admin | Yes, it is in the UI | No, it lives in a wrapper |
Құрылғы нені және қашан қайта жасайды
Басқару пакеттері әдетте параметрлерді дерекқорда немесе үлгілер жинағында ұстайды және демон конфигурациясын іске қосу кезінде құрастырады. Веб-интерфейстен сақтау жиі бір жолды патчтаудың орнына бүкіл файлды қайта жазады. Егер өзгерісіңіз сол файлда болса, ол енді жоқ, және ешнәрсе ескерту жазбайды, өйткені құрылғы тұрғысынан ештеңе жоғалған жоқ.
Іске қосу қаптамаларының екінші ақау режимі бар. Белгілі бір аралығы бар директива үшін grep үлгі өзгергеннен кейін сәйкестікті тоқтатады, ал скрипт үнсіз ештеңе жасамайды. Одан жаманы, микробағдарлама жаңартуы қаптаманы жаңа нұсқамен алмастырып, патчты өзімен бірге алып кетуі мүмкін. Сонда сізде бір жыл болған және ешкім маршруттаумен байланыстырмаған техникалық қызмет көрсету кезінде жоғалған маршрут болады.
Қолдау көрсетілген иесі нені білдіруі керек
Филиал префиксіне бір емес, үш мәлімдеме қажет. Клиент маршрутты үйренуі керек, сервер қай аутентификацияланған клиенттің префикске ие екенін білуі керек, ал филиал жағы трафикті өзіне берілген туннель мекенжайына қайтаруы керек. OpenVPN терминдерінде бұл жіберілген route, клиентке байланған сәйкес iroute және арғы жақтағы қайтару жолын білдіреді.
Міне, құрылғы интерфейстері шатастырады. «Клиенттерге сервердің LAN-ына кіруге рұқсат беру» деген белгісі бар құсбелгі сервердің өз желісіне қарай трафикті сипаттайды. Сіздің филиалыңыз — қарсы бағыт: бір клиенттің артындағы желі, сервер жағынан қолжетімді. Дәл сол белгі мұны қолдауды білдірмейді, ал файлдағы жарамды директива пакет оны сақтайтынына уәде емес.
Қолдау көрсетілген бақылау болмаған кезде
Кейде орнатылған шығарылым шынымен де серіктеске тән маршрутты білдіре алмайды. Сонда адал нұсқалар — өзіңіз бақылайтын басқа шлюз немесе екі ұшта қолдау көрсетілген сайт-сайт режимі. Екі ұш та оны сөйлеуі керек. «Сайт-сайт» деп жазылған өнім беті кез келген OpenVPN профилін басқа протоколдың туннелімен алмастырылатын етпейді, ал бұл жұптауды мәжбүрлеу әдетте күй бетінде жақсы көрінетін жартылай қосылған туннель жасайды.
Желіні мұрагерлікке алатын адамға бір сөйлеммен сипаттай алатын нұсқаны таңдаңыз. Егер жауап скрипт жолы мен мәтін үлгісін атауды қажет етсе, дизайн әлдеқашан нәзік.
Ниетті тексеруге болатын етіңіз
Шартты құрылғыдан тыс тіркеңіз: тиімді клиент сәйкестігі, префикс, қайтару шлюзі және олардың әрқайсысын беретін қолдау көрсетілген өріс. Конфигурацияны қолдау көрсетілген механизм арқылы экспорттаңыз, осылайша қайта құруға анықтама болады, және қызметті қайта қосылу, қайта жүктеу және жаңартудан кейін тексеріңіз, тек өзгерістен кейін емес.
Бірдеңе бұзылғанда, түсініксіз жолды қалпына келтіріп үміттенудің орнына, жасалған нәтижені сол жазбамен салыстырыңыз.OpenVPN 2.6 анықтамалығы — интерфейспен дауласудан бұрын route мен iroute қалай әрекеттесетінін растайтын орын.
Келесі өзгеріс үшін тексеру парағы: иесін атаңыз, үш бөлікті шартты тұжырымдаңыз, ниетті экспорттаңыз және өз өңдеуіңізден кейін емес, құрылғының өз өмірлік циклі оқиғаларынан кейін қайта тексеріңіз.