OpenVPN-Apparat-Route: Konfiguratiounseigner oder Startskript?
Eng Filialroute, déi een Neistart iwwerlieft, kann nach ëmmer no enger Späicherung an der GUI oder engem Firmware-Update verschwannen. Vergläicht den ënnerstëtzten Konfiguratiounseigner mat engem Patchskript.
Dir füügt eng Filialroute derbäi, si funktionéiert, an dann hëlt eng Firmware-Update oder eng Späicherung aus der Webschnittstell si ewech. Zwee Korrekturen schéngen an deem Moment gläich sënnvoll: d’Route an déi ënnerstëtzt Konfiguratiounsquell vum Apparat setzen, oder se aus engem Startskript un déi generéiert Datei ugeheien. Si behuelen sech eng Woch gläich a ginn bei der zweeter Aktualiséierung auserneen. Dësen Artikel vergläicht, wat jidderee vun hinnen tatsächlech besëtzt.
Déi zwou Kandidaten besëtzen verschidden Saachen
Déi ënnerstëtzt Konfiguratiounsquell ass alles, wat den Apparat als Input behandelt: en GUI-Feld, en importéierte Profil, en dokumentéierten Dossier pro Client, eng Astellungsdatebank, déi de Verwaltungspak liest. Déi generéiert server.conf ass Output. Output z’änneren fonctionnéiert, bis de Generator nees leeft, an dat geschitt beim Späicheren, beim Neistart a bei der Aktualiséierung.
De Skriptsapproche patchéiert deen Output, nodeems de Generator fäerdeg ass. Et ass eng legitim Technik fir eng Laboratoire, an et ass de falsche Standard fir eng Filialbüro, well et d’Route vum Textofgläich amplaz vun engem dokumentéierte Feld ofhängeg mécht.
| Question | Supported config source | Post-generation script |
|---|---|---|
| Survives a GUI save | Yes | Only if the save does not regenerate the file |
| Survives a package upgrade | Usually, when the field is documented | No guarantee; the wrapper can be replaced |
| Supportable by the vendor | Yes | No |
| Obvious to the next admin | Yes, it is in the UI | No, it lives in a wrapper |
Wat den Apparat nei generéiert, a wéini
Verwaltungspaketen halen Astellungen normalerweis an enger Datebank oder engem Set Schablounen a generéieren d’Daemon-Konfiguratioun beim Start. Eng Späicherung aus der Webschnittstell schreift dacks déi ganz Datei nei, amplaz eng Linn ze patchen. Wann Är Ännerung an där Datei gelieft huet, ass se elo fort, an näischt protokolléiert eng Warnung, well aus der Siicht vum Apparat ass näischt verluer gaangen.
Startwrappen hunn en zweeten Ausfallmodus. En grep fir eng Direktiv mat enger bestëmmter Späicherung hält no enger Schablounännerung op ze passen, a de Skript mécht stëll näischt. Nach méi schlëmm, en Firmware-Update kann de Wrapper duerch eng nei Versioun ersetzen an de Patch mat huelen. Dann hutt Dir eng Route, déi ee Joer existéiert huet a wärend enger Maintenance verschwonnen ass, déi keen mat Routing verbonnen huet.
Wat den ënnerstëtzte Eigner muss ausdrécken
E Filialpräfix brauch dräi Aussoen, net eng. De Client muss d’Route léieren, de Server muss wëssen, wéi en authentifizéierte Client de Präfix besëtzt, an d’Filialsäit muss den Traffic op d’Tunneladress zréckschécken, déi se krut. An OpenVPN-Terme bedeit dat en gepushten route, e passenden iroute, dee mam Client verbonne ass, an en Zréckwee op der anerer Säit.
Hei féieren d’Apparat-UIs an d’Ier. Eng Këscht mam Label „de Cliente erlaben, op de LAN vum Server zouzegräifen“ beschreift Traffic a Richtung vum eegene Reseau vum Server. Är Filial ass déi entgéintgesate Richtung: en Reseau hannert engem Client, erreechbar vun der Serversäit. Dee selwechte Label bedeit keng Ënnerstëtzung dofir, an eng gülteg Direktiv an enger Datei ass keng Verspriechung, datt de Pak se erhält.
Wann et keng ënnerstëtzt Kontroll gëtt
Heiansdo kann déi installéiert Verëffentlechung wierklech keng peerspezifesch Route ausdrécken. Dann sinn déi éierlech Optiounen en anere Gateway, deen Dir kontrolléiert, oder en ënnerstëtzten Site-zu-Site-Modus op béiden Enner. Béid Enner mussen en schwätzen. Eng Produktsäit, déi Site-zu-Site seet, mécht en arbiträre OpenVPN-Profil net mat dem Tunnel vun engem anere Protokoll austauschbar, an dës Kopplung ze forcéieren produzéiert meeschtens en hallef verbonnenen Tunnel, deen op enger Statussäit gutt ausgesäit.
Wielt d’Optioun, déi Dir an engem Saz deem beschreiwe kënnt, deen den Reseau ierft. Wann d’Äntwert e Skriptwee an e Textmuster ernimme muss, ass den Design schonn zerbriechlech.
Maacht d’Absicht auditierbar
Hält de Kontrakt baussen dem Apparat fest: effektiv Clientidentitéit, Präfix, Zréck-Gateway, an dat ënnerstëtzt Feld, dat jidderee vun hinnen liwwert. Exportéiert d’Konfiguratioun iwwer den ënnerstëtzten Mechanismus, sou datt en Neibau eng Referenz huet, a verifizéiert de Service no enger Zréckverbindung, engem Neistart an enger Aktualiséierung amplaz nëmmen no der Ännerung.
Vergläicht dat generéiert Resultat mat deem Register, wann eppes brécht, amplaz eng onerkläert Linn zréckzesetzen an ze hoffen.OpenVPN-2.6-Referenz ass dee Plaz, wou Dir bestätegt, wéi route an iroute interagéieren, ier Dir mat enger Interface diskutéiert.
Checklëscht fir déi nächst Ännerung: den Eigner benennen, den dräideelegen Kontrakt uginn, d’Absicht exportéieren, an no den eegenen Liewenszyklus-Evenementer vum Apparat nei testen amplaz no Ärer Ännerung.