OpenVPN клиентін қайта қосу: үш басқару құралы, үш ауқым

Біреу VPN клиентін қайта қосуды сұрайды, және бұл өтініш үш түрлі нәрсені білдіруі мүмкін. Ол бір аутентификацияланған сессияны тастауды, әр клиентке UDP сервері кетіп бара жатқанын хабарлауды немесе демонның өзін қайта іске қосуды білдіруі мүмкін. Әрқайсысының әсер ету радиусы басқа, және дұрыс емес таңдау бір пайдаланушыға арналған түзетуді қызметтің толық тоқтауына айналдырады. Ауқым — бұл шешім, ал команда содан туындайды.

Қандай басқару құралын қолдануды сұрамас бұрын, кімге әсер етуі керегін сұраңыз.

Бір дана: басқару интерфейсі

Конфигурацияланған басқару интерфейсі қосылған даналарды тізімдеп, олардың дәл біреуін тастай алады. Әр сессия клиент идентификаторын алып жүреді, және client-kill CID ортақ атауға емес, сол идентификаторға бағытталады. Ағымдағы күй шығысынан тірі идентификаторды оқыңыз, өйткені ескі журналдан көшірілген мән енді жоқ сессияға сілтеме жасайды. Дананы тастау сол байланысты аяқтайды, басқа ештеңе емес.

Бұл жаңа байланысқа кепілдік бермейді. Клиенттің қайта оралуы оның қайта әрекет параметрлеріне, қалған қашықтағы жазбаларына, аутентификация талаптарына және қадағалаушы қолданбаның әлі жұмыс істеуіне байланысты. Қайтып оралған клиент жаңа идентификатор алады, сондықтан идентификаторларды салыстыру — ескіні жаңадан ажыратудың жалғыз сенімді жолы.

UDP шығу хабарламасы әр клиентке арналған команда емес

explicit-exit-notify шығу және қайта іске қосу оқиғалары туралы конфигурация директивасы. UDP клиентінде ол екінші тарапқа сессияның аяқталып жатқанын хабарлайды, ал сандық аргумент хабарламаның қанша рет қайталанатынын басқарады. Сервер UDP арқылы жұмыс істегенде қосылған клиенттеріне қайта іске қосу басқару хабарламасын жібереді, және құжатталған мәндер сол серверге қайта қосылуды басқа қашықтағы жазбаға көшуден ажыратады. Бұл кең аудиторияға арналған өмірлік цикл сигналы.

Оның ішінде ештеңе еркін сәтте еркін клиентті таңдамайды. Оны қайта қосу түймесі ретінде қарау бірден барлық қосылған сессияға жетеді.

Сигналдар процеске әсер етеді, сессияға емес

SIGUSR1 жұмыс істеп тұрған процестен конфигурацияны қайта оқымай өз байланысын қайта іске қосуды сұрайды, және тұрақтылық опциялары сол қайта іске қосудан ненің аман қалатынын анықтайды. SIGHUP әрі қарай жүреді: конфигурация файлын қайта оқып, өз ресурстарын қайта ашады. SIGTERM және SIGINT ретті тоқтатуды сұрайды. Бұл процесс деңгейіндегі операциялар: көп клиентті серверде олар процесс алып жүрген барлық сессияға әсер етеді, билетте аталған сессияға емес.

Процесс қызмет менеджерінің астында жұмыс істегенде, процестер тізімінен тапқан PID-ге сигнал жіберудің орнына менеджердің өз басқаруын қолданыңыз. Менеджер қандай сигнал жіберетінін көру үшін бірлікті оқыңыз, өйткені қайта іске қосу мен қайта жүктеу бір демонға әртүрлі нәрсе жасайды.

Басқару құралын таңдамас бұрын ауқымды анықтаңыз

Үш сұрақ мұны шешеді. Кімге әсер етуі керек: бір пайдаланушыға, бір сервердің барлық клиентіне, әлде демонға және ол алып жүргеннің бәріне. Не сақталуы керек: конфигурация, туннель күйі, әлде екеуі де емес. Кімнің рұқсаты бар: басқару интеграциясы, қызмет иесі, әлде шығу хабарламасын басқаратын желі операторы. Осыларға жауап беріңіз — тек бір басқару құралы сәйкес келеді.

Қайта қосу түймесін алу үшін аутентификациясыз басқару тыңдаушысын қосу портқа жете алатын кез келген адамға сол түймеден әлдеқайда көп нәрсені береді.

Жаңа сессияны тексеріңіз, ажырауды емес

Ажырау оқиғасы ескі сессияның аяқталғанын дәлелдейді. Ол жаңа сессияның аутентификациядан өтуі, мекенжай алуы, маршруттарды орнатуы немесе пайдаланушыға қажет ресурсқа жетуі туралы ештеңе айтпайды. Жаңа идентификаторды, сосын туннель күйін, сосын бір нақты ресурсты тексеріңіз. Осы үш қадам қайта қосу мен жұмыс істейтін байланыстың айырмашылығы.

Ауқымды өзгеріс жазбасына жазыңыз. «Клиентті қайта қостым» деген сипаттама емес, егер клиент ортақ сервердегі қырықтың бірі болса.