Access Serverден Community OpenVPNге: эмнени кайра куруу керек

Access Server менен Community OpenVPN бир протоколдо суйлошот, ал эми калганынын дээрлик баары окшош эмес. Кол алышуу, шифр келишими жана туннелдин маалымат тегиздиги шайкеш, ошондуктан кардар профилин өзгөртпөстөн эки тарапка тең туташа алат. Айырма конфигурация кимге таандык экендигинде: бир продукт саясатты жазып жана аткарган башкаруу катмарын берет, экинчиси сизге конфигурация файлын жана илмектер топтомун берип, өзүңүз чечишиңизди күтөт.

Ошол айырма – көчүрүү планы. Эски продукт сиздин атыңыздан чечкендин баары жаңы жайгаштырууда бир жерде ачык чечимге айланышы керек.

Эки жайгаштыруу алмаштырылбай калган жер

Access Serverде веб-администратордук интерфейс колдонуучуларга, топторго, ар бир колдонуучунун укуктарына, сертификат берүүгө жана адам жүктөп алган профиль таңгычына ээ. Астындагы демонду ошол катмар конфигурациялайт, ошондуктан иштеп жаткан кызмат кол менен сейрек өзгөртүлгөн сакталган абалдын натыйжасы. Community OpenVPNде конфигурация файлы – абалдын өзү: ал угуучуну, сертификат органын, аутентификация илмегин жана ар бир жиберилген параметрди атайт, жана эч нерсе аны сиздин ордуңузга кайра жазбайт. Ошол эле TLS механизми эки такыр башка менчик моделинде турат.

Кыска шайкештирүү ажырымды конкреттүү кылат. Колдонуучулар менен топтор эски базада гана бар, аларды кайра түзгөнгө чейин. Профиль таңгычтары конфигурация файлы жана өзүңүз тарата турган сертификаттарга айланат. Ар бир колдонуучунун укуктары client-config-dir ичиндеги директиваларга айланат. Администратордук интерфейс сертификат берүү жана файлдарды өзгөртүү үчүн өзүңүз тандаган процесс болуп калат.

Серверге тийүүдөн мурун ошол шайкештирүүнү жазып кой. Толтура албаган ар бир сап – азыр жоготуп жаткан мүмкүнчүлүк, ал эми үнсүз жоготуу көчүрүүнү эки жумадан кийин тыныгууга айландырган жол.

Инсандык сертификат файлдары менен өтпөйт

Эски органдын сертификаттары жаңы кызматта туура талданып, баары бир туура эмес инсандык болушу мүмкүн, анткени эски продукт аларды жаңысы көрө албаган эсеп абалы менен жупташтырган. Адегенде жаңы жайгаштыруу сертификат менен гана, PAM же RADIUSка жеткен плагин менен, же алардын айкалышы менен аутентификациялайбы аныкта, анан ар бир вариант керектүү касиеттерди сактайбы текшер. Ар бир колдонуучунун инсандыгы жок жалпы сертификат – ага ээ болгондордун баарына бир эсеп. Кайтарып алуу да биринчи күндөн иштеши керек, бул Community OpenVPNде crl-verify шилтеме кылган CRL файлы жана аны кайра жараткан процесс дегенди билдирет.

Каттоону өтүүдөн мурун планда, кийин эмес. Жаңы сертификаттар, сыналган кайтарып алуу жолу жана бир адамды өчүрүүнүн документтелген ыкмасы – алдын ала шарттар, кийинки иш эмес. Эгер көп факторлуу аутентификация эски продукттун интеграциясынан келсе, алмаштыргычты ачык ата, анткени орнотулбаган плагин эң жаман учурда жабык абалда ишке ашпайт.

Маршруттоо жана аттарды чечүү конфигурацияны жазганга баш ийет

Маршруттар, DNS жөндөөлөрү жана толук туннелдин жүрүм-туруму эки продуктта тең жиберилген параметрлер, бирок аларды сиз үчүн бир гана эсептейт. Community OpenVPNде push директиваларын өзүңүз жазасыз, redirect-gateway сервергеби же кардаргабы таандык экенин чечесиз жана хостто өткөрүп жиберүү менен NAT бар экенин ырастайсыз. Бүткөн кол алышуу өткөрүп жиберүү, дарек которуу же кардар чындыгында алган маршруттар тууралуу эч нерсе айтпайт.

Ар бир кардардын жүрүм-туруму үчүн client-config-dir жана кардардын сертификатынын common name атындагы файл керек, ал эми сайт аралык жуп үчүн артындагы префикстерге iroute жазуулары керек. Аты туура эмес болсо, параметрлер катасыз этибарга алынбайт. Өндүрүштүк эмес бир кардар менен өз дарек бассейнинде сынап көр, анан ага берилген даректи, алган маршруттарын жана аяктаган resolver жөндөөлөрүн оку.

Эски кызмат кайтып келе алышы үчүн өтүүнү иретте

Жаңы угуучуну башка портто же даректе иштет, ал эми алмаштырууну далилдегенче эскиси трафикке кызмат кылып турсун. Бир сокетте эки демон – кайтаруу планы эмес.

Бир топту бир убакта жылдыр, анын сертификаттары, бассейни жана маршруттары менен, жана кайтуу жолун окуянын учурунда табуунун ордуна машыктыр. Жаңы кызматты адегенде токтотпой иштебеген кайтаруу да кайтаруу, бирок аны эч нерсе күйбөгөндө сыноо керек.

Акырында түз баламасы жок мүмкүнчүлүктөрдү тизмелеп, ар биринин тагдырын жазуу менен чеч: өзүн-өзү тейлөө профилин жүктөө, ар бир колдонуучунун укук туулары, администратордук интерфейстин өзү, тирүү туташуулар боюнча отчет. Аларды документтелген кол менен процесс менен алмаштыруу – мыйзамдуу жооп. Сапты бош калтыруу андай эмес.

Иш эски порталды эч көрбөгөн колдонуучу катталып, туташып, көздөлгөн ички дарекке жетип жана таза түрдө кайтарылып алынганда бүтөт. Ошого чейинкинин баары даярдык.