OpenVPN түзмөгүнүн маршруту: конфигурация ээсиби же иштетүү скриптиби?
Бир кайра жүктөөдөн өткөн филиал маршруту GUI’ден сактоодон же микропрограмма жаңыртуусунан кийин да жоголушу мүмкүн. Колдоого алынган конфигурация ээсин патч скрипти менен салыштырыңыз.
Сиз филиал маршрутун кошосуз, ал иштейт, анан микропрограмма жаңыртуусу же веб-интерфейстен сактоо аны жок кылат. Ошол учурда эки оңдоо бирдей акылга сыярлык көрүнөт: маршрутту түзмөктүн колдоого алынган конфигурация булагына коюу, же аны иштетүү скриптинин негизинде түзүлгөн файлга кошуу. Алар бир жума бою бирдей жүрүп, экинчи жаңыртууда ажырашат. Бул макала ар бири чындыгында эмнени ээлегенин салыштырат.
Эки талапкер ар башка нерселерди ээлейт
Колдоого алынган конфигурация булагы — түзмөк кирүү катары кабыл алган нерсенин баары: GUI талаасы, импорттолгон профиль, ар бир кардар үчүн документтелген каталог, башкаруу пакети окуган жөндөөлөр базасы. Түзүлгөн server.conf — чыгуу. Чыгууну оңдоо генератор кайра иштегенге чейин иштейт, бул сактоодо, кайра жүктөөдө жана жаңыртууда болот.
Скрипт ыкмасы генератор аяктагандан кийин ошол чыгууну патчтайт. Бул лаборатория үчүн мыйзамдуу ыкма, жана филиал кеңсеси үчүн туура эмес демейки, анткени маршрутту документтелген талаага эмес, текст дал келүүсүнө көз каранды кылат.
| Question | Supported config source | Post-generation script |
|---|---|---|
| Survives a GUI save | Yes | Only if the save does not regenerate the file |
| Survives a package upgrade | Usually, when the field is documented | No guarantee; the wrapper can be replaced |
| Supportable by the vendor | Yes | No |
| Obvious to the next admin | Yes, it is in the UI | No, it lives in a wrapper |
Түзмөк эмнени жана качан кайра түзөт
Башкаруу пакеттери адатта жөндөөлөрдү маалымат базасында же шаблондор жыйындысында сактайт жана демон конфигурациясын иштетүү учурунда курат. Веб-интерфейстен сактоо көбүнчө бир сапты патчтоонун ордуна бүт файлды кайра жазат. Эгер өзгөртүүңүз ошол файлда болсо, ал азыр жок, жана эч нерсе эскертүү жазбайт, анткени түзмөктүн көз карашынан эч нерсе жоголгон жок.
Иштетүү каптоолорунун экинчи бузулуу режими бар. Белгилүү аралыгы бар директива үчүн grep шаблон өзгөргөндөн кийин дал келүүнү токтотот, ал эми скрипт үнсүз эч нерсе кылбайт. Андан жаманы, микропрограмма жаңыртуусу каптоону жаңы версия менен алмаштырып, патчты өзү менен алып кетиши мүмкүн. Ошондо сизде бир жыл болгон жана эч ким маршруттоо менен байланыштырбаган тейлөө учурунда жоголгон маршрут болот.
Колдоого алынган ээси эмнени билдириши керек
Филиал префиксине бир эмес, үч билдирүү керек. Кардар маршрутту үйрөнүшү керек, сервер кайсы аутентификацияланган кардар префикске ээ экенин билиши керек, ал эми филиал тарабы трафикти өзүнө берилген туннель дарегине кайтарышы керек. OpenVPN терминдеринде бул жиберилген route, кардарга байланган дал келүүчү iroute жана аркы тараптагы кайтаруу жолун билдирет.
Мына ушул жерде түзмөк интерфейстери адаштырат. «Кардарларга сервердин LAN’ына кирүүгө уруксат берүү» деген белгиси бар белги кутучасы сервердин өз тармагына карай трафикти сүрөттөйт. Сиздин филиал — карама-каршы багыт: бир кардардын артындагы тармак, сервер тарабынан жеткиликтүү. Ушул эле белги муну колдоону билдирбейт, ал эми файлдагы жарактуу директива пакет аны сактайт деген убада эмес.
Колдоого алынган көзөмөл жок болгондо
Кээде орнотулган чыгарылыш чынында эле өнөктөшкө тиешелүү маршрутту билдире албайт. Ошондо ак ниеттүү варианттар — өзүңүз көзөмөлдөгөн башка шлюз же эки учу боюнча колдоого алынган сайт-сайт режими. Эки уч тең аны сүйлөшү керек. «Сайт-сайт» деп жазылган продукт баракчасы каалаган OpenVPN профилин башка протоколдун туннели менен алмаштырылуучу кылбайт, ал эми бул жуптоону мажбурлоо адатта статус баракчасында жакшы көрүнгөн жарым туташкан туннелди жаратат.
Тармакты мурас ала турган адамга бир сүйлөм менен сүрөттөй алган вариантты тандаңыз. Эгер жооп скрипт жолун жана тексттик үлгүнү эскертүүнү талап кылса, дизайн буга чейин эле морт.
Ниетти текшерүүгө мүмкүн кыл
Келишимди түзмөктүн сыртында жаздырыңыз: натыйжалуу кардар инсандыгы, префикс, кайтаруу шлюзу жана алардын ар бирин берген колдоого алынган талаа. Конфигурацияны колдоого алынган механизм аркылуу экспорттоп, кайра курууга шилтеме болсун, жана кызматты кайра туташуу, кайра жүктөө жана жаңыртуудан кийин текшериңиз, өзгөртүүдөн кийин гана эмес.
Бир нерсе бузулганда, түшүндүрүлбөгөн сапты калыбына келтирип үмүт кылуунун ордуна, түзүлгөн натыйжаны ошол жазуу менен салыштырыңыз.OpenVPN 2.6 шилтемеси — интерфейс менен талашуудан мурун route менен iroute кантип өз ара аракеттенерин ырастоочу жер.
Кийинки өзгөртүү үчүн текшерүү тизмеси: ээсин атаңыз, үч бөлүктүү келишимди айтыңыз, ниетти экспорттоңуз жана өз оңдооңуздан кийин эмес, түзмөктүн өз жашоо циклиндеги окуяларынан кийин кайра текшериңиз.