En OpenVPN-Wartungsfenster plangen, ouni den Host ze verléieren

De VPN-Service nei starten beendet all Sitzung déi en benotzt, dofir muss d’Fënster ëm Gespréich gebaut ginn an net ëm de Pakmanager. D’Benotzer brauche genuch Virwarnung fir sensibel Aarbecht fäerdeg ze maachen, an dir braucht en Zeréckwee deen net vum Tunnel ofhängeg ass deen dir grad wëllt stoppen. Alles anescht am Playbook ass do, fir déi zwee Tatsaachen handhabbar ze maachen. Losst eng vun deenen zwee ewech, an eng Routineaktualiséierung gëtt en Ausfall ouni Auswee.

D’Reiefolleg hei drënner ass bewosst: all Etapp produzéiert eppes wat déi nächst brauch, an all Etapp kann d’Ännerung ophalen ier se ufänkt.

Halt de Service fest deen et gëtt ier dir hien ännert

Lies déi installéiert Unit an net déi déi s du mengen hues geschriwwen ze hunn: systemctl cat [email protected] dréckt d’Unit an all drop-in aus, an systemctl show [email protected] -p ExecStart -p User -p WorkingDirectory weist wat tatsächlech leeft an ënner wien. Frot d’Binär dat dës Unit nennt, well openvpn --version aus enger Shell op eng aner Build kann opgeléist ginn. Notéier de Profilpad an all Fichier op deen en verweist.

Opgepasst och op d’Lauschter-Sockets: ss -lunp | grep 1194 seet dir wéi eng Adress a wéi e Protokoll den Daemon haut huet. Wann d’Äntwert net dat ass wat de Profil virschléit, iwwerschreift en drop-in oder eng Ëmweltdatei se, an d’Aktualiséierung wäert déi Iwwerraschung ierwen.

Stell e Widderhierstellsetz zesummen dat een aneren notze kann

D’Widderhierstellsetz muss ëm 03:00 vun engem Kolleg ouni däin Kontext notzbar sinn. Huet déi effektiv Konfiguratioun mat all referenzéierte Fichier, d’Vertrauens- a Widderruffsmaterial ënner der Kontroll vum PKI-Eegentümer, d’Zouweiseungen an Hooks pro Client, an déi genee Pakversiounen déi haut installéiert sinn. Eng Kopie vun engem Fichiersnumm ass keng Konfiguratioun. Späichert se do wou den Operateur vun der Bereetschaft se ouni de VPN erreecht.

Zougrëffskontrolle gëllen och fir dat Setz, well et privat Schlësselen oder Backend-Zougangsdaten enthält. Bau d’CA net nei op a stell keng Identitéiten nei aus just well eng Pakversioun geännert huet.

Üb op engem Pilot-Listener mat engem richtegen Client

Looss de Kandidat-Release op engem separate Listener mat sengem eegene Port- an Adressplang lafen, net niewent der Produktiounsinstanz um selwechte Socket. Verbann sech mat de Client-Motoren déi deng Benotzer tatsächlech lafen, och mat deem onbequeemen. Kontrolléier d’Adresszouweisung, den DNS dee gedréckt gëtt, eng Applikatioun op déi et ukënnt, an ee Pad dat gespaart bleiwe soll. Eegen Hooks mussen am reellen Privilleg- a Fichiersystemkontext vum Service lafen, well eng Root-Shell näischt iwwer si beweist.

Lies d’Release-Notes fir Verhalensännerungen, net just fir nei Funktiounen. Cipher- an TLS-Standarder verréckelen sech tëscht Versiounen, an e Profil deen nach parst kann nach ëmmer en Handshake verfeelen. Wann d’Aktualiséierung Profil- oder Zertifikatsännerungen brauch, plane se als eegene Schrëtt amplaz se an d’Pakaktualiséierung ze stiechen.

Schalt eemol ëm, vun engem Pad baussen dem Tunnel

Fänk d’Fënster vun enger Konsole oder engem Managementnetz un dat net duerch de Service geet. Bestäteg datt d’Benotzer informéiert goufen an en zweete Betreiber weess wéi een zeréckrollt. Wende déi virbereet Ännerung duerch hiren Eegentümer un, start dann nei mat sudo systemctl restart [email protected] a verfolleg den Journal mat journalctl -u openvpn-server@office -b -f. En Neiliiste genüügt wann just Unit-Definitioune geännert hunn; en geännerte Profil verlaangt den Neistart vum Prozess.

Rechne domat datt all Client sech nei verbënnt an datt verschidden Applikatiounssitzungen net weiderginn. Koordinéier eng propper Paus mat de Belaaschtungen déi dat net verdroen.

Akzeptéier oder roll zeréck, dann sot den Benotzer wat sech geännert huet

Akzeptanz ass en neie Login plus eng reell Operatioun plus d’Restriktiounen déi nach gëllen. Eng aktiv Unit an eng gréng Statuslinn sinn Prozessfakten. Wann d’Krittären an der Fënster versoen, roll mat der virbereeter Method zeréck, net andeems een eenzelen Fichier restauréiert an hofft; eng geännert Binär oder Servicepolitik iwwerlieft eng Konfiguratiounsrestauratioun. Behuel all Widderruffs- oder Autorisatiounsännerung déi während der Fënster gemaach gouf, sou datt de Rollback keng Sécherheetsaarbecht réckgängeg mécht.

Notéier d’Versiounen, d’Profilännerungen an d’Akzeptanzresultater fir den nächsten Operateur, pensionéier de Pilot-Listener, a sot den Benotzer wéi ee Profil se elo solle benotzen. Eng Fënster déi ouni dës Notiz op en Enn geet gëtt bei der nächster Aktualiséierung nees verhandelt.