Vum Access Server op Community OpenVPN: wat muss nei opgebaut ginn

Access Server a Community OpenVPN schwätzen deeselwechte Protokoll an bal näischt anescht op déiselwecht Manéier. Den Handshake, d Verhandlung vun de Chiffren an d Datenaarbechtung vum Tunnel si kompatibel, dofir kann e Client dacks mat béiden verbannen, ouni säi Profil ze änneren. Den Ënnerscheed ass wiem d Konfiguratioun gehéiert: een Produkt liwwert eng Verwaltungsschéif, déi Politik schreift an duerchsetzt, dat anert gëtt der eng Konfiguratiounsdatei an eng Rei Hooken an erwaart, datt s du entscheeds.

Dee Ënnerscheed ass de Migratiounsplang. Alles wat dat aalt Produkt an dengem Numm entscheet huet, muss an der neier Installatioun eng explizit Decisioun ginn.

Wou déi zwou Installatiounen ophalen auswiesselbar ze sinn

Am Access Server gehéieren dem Web-Administratiounsinteface d Benotzer, d Gruppen, d Rechter pro Benotzer, d Ausstellung vu Certificaten an de Profilspak, deen een erof lued. Den Daemon drënner gëtt vun där Schéif konfiguréiert, dofir ass de lafende Service d Produkt vun engem gespäicherten Zoustand, deen s du selen vun Hand ännerschreifs. Am Community OpenVPN ass d Konfiguratiounsdatei den Zoustand: si nennt den Listener, d Certificatsautoritéit, den Authentifikatiounshook an all gepusht Optioun, an näischt schreift se fir dech ëm. Déiselwecht TLS-Maschinn steet also ënner zwou ganz verschiddene Besëtzmodeller.

Eng kuerz Kartéierung mécht de Gruef konkret. Benotzer a Gruppe ginn et nëmmen an der aler Datebank, bis s du se nei erschafs. Profilspäck ginn eng Konfiguratiounsdatei plus Certificaten, déi s du selwer verdeels. Rechter pro Benotzer ginn Direktiven an client-config-dir. Den Administratiounsinteface gëtt dee Prozess, deen s du fir d Ausstelle vu Certificaten an d Änneren vu Fichieren auswiels.

Schreif déi Kartéierung op, ier s du e Server beréiers. All Zeil, déi s du net fëllen kanns, ass eng Funktioun, déi s du just verléiers, an deescht Verléieren ass de Wee, wéi eng Migratioun zwee Woche méi spéit eng Stéierung gëtt.

D Identitéit geet net mat de Certificatsdateien iwwer

Certificaten vun der aler Autoritéit kënnen am neie Service richteg geparst ginn an trotzdeem déi falsch Identitéit sinn, well dat aalt Produkt se mat engem Kontzoustand verbannt huet, deen dat neit net gesäit. Entscheed fir d éischt, ob déi nei Installatioun nëmme mat Certificat authentifizéiert, mat engem Plugin deen PAM oder RADIUS erreecht, oder mat enger Kombinatioun, a kontrolléier duerno, ob all Optioun déi noutwenneg Eegenschafte behält. En gedeelte Certificat ouni Identitéit pro Benotzer ass eng eenzeg Umeldung fir all déi en hunn. Den Zeréckzuch muss och vum éischten Dag u funktionéieren, wat am Community OpenVPN eng CRL-Datei bedeit, op déi crl-verify verweist, plus e Prozess deen se nei generéiert.

Plang d Umeldung virum Iwwergank, net duerno. Nei Certificaten, en geteste Zeréckzuchswee an eng dokumentéiert Manéier fir eng Persoun auszeschalten si Viraussetzungen, keng Nofollegsaarbecht. Wa Multi-Faktor-Authentifikatioun aus der Integratioun vum aale Produkt koum, nenn den Ersatz explizit, well e Plugin deen net installéiert ass, fällt zouen am schlëmmste Moment aus.

Routing an Numm-Opléise follegen deem, deen d Konfiguratioun schreift

Strecken, DNS-Astellungen an d Verhalen vum ganze Tunnel si gepusht Optiounen a béide Produkter, awer nëmmen een berechent se fir dech. Am Community OpenVPN schreifs du d Push-Direktiven selwer, entscheeds ob redirect-gateway op de Server oder de Client gehéiert, a bestätegs datt Weiderleeung an NAT um Host existéieren. En ofgeschlossenen Handshake seet der näischt iwwer Weiderleeung, Adressiwwersetzung oder d Strecken, déi de Client tatsächlech kritt huet.

D Verhalen pro Client brauch client-config-dir plus eng Datei déi nom common name vum Client-Certificat genannt ass, an e Site-zu-Site-Paar brauch iroute-Andréi fir d Präfixen déi hannendrun leien. Ass den Numm falsch, ginn d Optiounen ouni Feeler ignoréiert. Test mat engem Client deen net a Produktioun ass, an sengem eegene Adresspool, a lies duerno d Adress déi hien krut, d Strecken déi hie krut an d Resolver-Astellungen mat deenen hien opgehalen huet.

Orchestréier den Iwwergank sou, datt den ale Service kann zréckkommen

Laf den neien Listener op engem aneren Port oder enger anerer Adress, a lue den ale Verkéier bedéngen, während s du den Ersatz bewäis. Zwee Daemone op engem Socket sinn kee Rollback-Plang.

Beweeg eng Grupp op eng Kéier, mat hiren eegene Certificaten, hirem eegene Pool an hire eigene Strecken, a probéier den Zréckwee, amplaz en während engem Tëschefall ze entdecken. E Rollback deen nëmme funktionéiert wann den neie Service fir d éischt gestoppt gëtt, ass nach ëmmer e Rollback, awer en muss getest ginn, wa näischt brennt.

Schlussendlech, lëscht d Funktiounen ouni direkt Äquivalent op a entscheed hir Schicksal schrëftlech: Self-Service-Profil-Download, Rechter-Fändelen pro Benotzer, den Administratiounsinteface selwer, Live-Verbindungsberichter. Se duerch en dokumentéierten manuelle Prozess ersetzen ass eng legitim Äntwert. D Zeil eidel loossen ass et net.

D Aarbecht ass fäerdeg wa Benotzer déi den aale Portal ni gesinn hunn sech umellen, verbannen, déi virgesinn intern Adress erreechen a propper zeréckgezunn kënne ginn. Alles virdrun ass Virbereedung.