OpenVPN кардарын ката болгондо токтоп калган баскычтар менен даярдоо

Катаны билдирип, уланта берген даярдоо скрипттери эч качан иштебеген скрипттерден жаман. Кардарды жөндөө корголгон ачкычтарга, шлюздеги инсанга жана мурунтан эле трафикти тейлеп жаткан болушу мүмкүн болгон кызматка тийет. Алардын ар бирине токтоо шарты керек, ал эми скрипт токтогондо кайсы баскычка жеткенин билиши керек.

Бүт ишти беш көзөмөл точкасы бар бир транзакция катары карап, ар бир көзөмөл точка өзүнчө улантуудан баш тартсын.

Файл системасына тийүүдөн мурун кирүүлөрдү оңдо

Айкын келишимден башта: бир инсан, профилдин бир булагы, кызматтын бир көздөлгөн ээси. Профилдин бар экенин, ал шилтеме кылган сертификат менен ачкычтын окулаарын жана максаттуу каталог күтүлгөн топтомго таандык экенин текшер. Чечилген жол анын артындагы материалдын толук экенине далил эмес.

Бош өзгөрмөлөрдү эрте четке как. Эч нерсеге кеңейбеген орнотулбаган $DEVICE install -m 400 $KEY /etc/openvpn/client/ буйругун каталогго багытталган көчүрмөгө айландырат, ал эми ийгиликсиздик кийинчерээк өз ачкычын окуй албаган кызмат катары келет.

Профил топтомун даярдоо каталогунда жыйна

Алгач толук топтомду жабык жерде кур: профил, CA, кардар сертификаты, ачкыч жана профил чакырган ар кандай жардамчы. install -m 400 -o root -g root менен көчүр, укуктар кийин эмес, түзүлүү учурунда коюлсун. Андан кийин профилдин ичиндеги шилтемелерди текшер, анткени салыштырмалуу ca же key сабы кызмат башталаары менен бирдиктин жумушчу каталогуна карата чечилет. Бүт топтом тастыкталмайынча активдүү каталогго эч нерсе жазылбашы керек.

Бул жүгүртүү эмне өндүргөнүнүн жашыруун эмес манжа изин жаз, мисалы версия белгисинин жанында сакталган sha256sum office.conf. Так ушул бир маани кайра жүгүртүүгө жаңыртууну эч нерсе кылбоодон ажыратууга мүмкүндүк берет.

Атомдук алмаштыр жана мурунку топтомду сакта

Даярдалган топтомду файл системасы уруксат берген жерде бир операция менен ордуна жылдыр жана каралган мурунку топтомду убакыт белгиси бар ат менен сакта. Эски ачкычтын жанында жаңы профил калтырган жарым-жартылай көчүрмө туура эмес инсан менен аутентификацияланган жана себеби тууралуу пайдалуу эч нерсе жазбаган кызмат жаратат. Эгер алмаштыруу атомдук боло албаса, жылдырууларды профил эң акырында түшкүдөй тартипте.

Максат мурунтан бар болсо, бул жүгүртүү жаңыртуубу, окшош кайра жүгүртүүбү же башка түзмөктүн профили менен кагылышуубу экенин айкын чеч. Башка инсанга таандык профилди үнсүз үстүнөн жазуу эки машинанын бир сертификатты бөлүшүүсүнө алып келген жол. Анын ордуна жүгүртүүдөн баш тарт жана кагылышкан ээсин ата.

Бир ээсин активдештир жана аны далилде

Бир активдештирүү жолун танда, же systemd нускасы, же NetworkManager, жана аны ырааттуу колдон. Активдештирилген бирдиктин жанында башкарылбаган openvpn процессин баштоо эки туннель, атаандаш DNS жаңыртуулары жана токтотуу буйругу кайсынысын максат кылаарына айкын жооп бербейт. Активдештирүүдөн кийин systemctl is-active openvpn-client@office текшер, андан кийин алыскы префикске маршрутту, андан кийин туннель орноткон чечүүчү үчүн resolvectl status текшер. Туннель үчүн бар болгон бир ресурска жетүү менен бүтүр.

Иштеп жаткан процесс жана жашыл науа белгиси процесстин фактылары, инсан менен трафик саясаты өткөрүп берүүдөн аман калганынын далили эмес.

Кайра жүгүртүү жана чыгаруу өзүнчө жумуш агымдары

Экинчи жүгүртүү ошол эле каралган файлдарга жана ошол эле ээсине жакындашы керек, экинчи аккаунт же экинчи демон түзбөшү керек. Чыгаруу өзүнүн жол-жобосу: так ээсин токтот, саясатка ылайык жергиликтүү профилди архивде же жок кыл, жана шлюзде инсанды жокко чыгар. Жергиликтүү ачкыч файлын жок кылуу машинадан мурун кетип калган көчүрмөнү жокко чыгарбайт.

Туннелге көз каранды эмес калыбына келтирүү жолун сакта, мисалы консолго кирүү же экинчи башкаруу маршруту. Сени машинадан тышкары кулпулаган даярдоо өзгөртүүсү — ар бир баскыч ийгилик билдирсе да — ийгиликсиз өзгөртүү.

Сактоого татыктуу скрипт — ээлик жана далил айланасындагы транзакция. Артыкчылыктуу көчүрүү буйруктарынын кыска тизмеси бир нерсе эмес.