Nuo Access Server prie Community OpenVPN: ką reikia atstatyti

Access Server ir Community OpenVPN kalba tuo pačiu protokolu, o beveik nieko kito nedaro taip pat. Rankos paspaudimas, šifrų derinimas ir tunelio duomenų plokštuma yra suderinami, todėl klientas dažnai prisijungia prie bet kurio iš jų nekeisdamas profilio. Skirtumas tas, kam priklauso konfigūracija: vienas produktas pateikia valdymo sluoksnį, kuris rašo ir vykdo politiką, kitas duoda konfigūracijos failą ir kabliukų rinkinį bei tikisi, kad nuspręsite patys.

Šis skirtumas ir yra migracijos planas. Viskas, ką senasis produktas nusprendė už jus, turi tapti aiškiu sprendimu kažkur naujame diegime.

Kur du diegimai nustoja būti keičiami

Access Server programoje žiniatinklio administravimo sąsaja valdo naudotojus, grupes, kiekvieno naudotojo leidimus, sertifikatų išdavimą ir profilio paketą, kurį žmogus atsisiunčia. Po ja esantį demoną konfigūruoja tas sluoksnis, todėl veikianti tarnyba yra saugomos būsenos rezultatas, kurią retai keičiate ranka. Community OpenVPN atveju konfigūracijos failas yra būsena: jis nurodo klausytoją, sertifikatų instituciją, autentifikavimo kabliuką ir kiekvieną stumiamą parinktį, ir niekas jo perrašo už jus. Ta pati TLS mašina todėl stovi po dviem labai skirtingais nuosavybės modeliais.

Trumpas atvaizdavimas padaro spragą konkrečią. Naudotojai ir grupės egzistuoja tik senoje duomenų bazėje, kol jų nesukursite iš naujo. Profilio paketai tampa konfigūracijos failu ir sertifikatais, kuriuos platinote patys. Kiekvieno naudotojo leidimai tampa direktyvomis client-config-dir kataloge. Administravimo sąsaja tampa bet kuriuo procesu, kurį pasirenkate sertifikatams išduoti ir failams redaguoti.

Užsirašykite šį atvaizdavimą prieš liedami serverį. Kiekviena eilutė, kurios negalite užpildyti, yra funkcija, kurią tuoj prarasite, o tylus praradimas yra kelias, kuriuo migracija po dviejų savaičių tampa sutrikimu.

Tapatybė nepersikelia su sertifikatų failais

Senoji institucija išduoti sertifikatai gali būti teisingai išanalizuoti naujoje tarnyboje ir vis tiek būti neteisinga tapatybė, nes senasis produktas juos siejo su paskyros būsena, kurios naujasis nemato. Pirmiausia nuspręskite, ar naujasis diegimas autentifikuoja tik sertifikatu, papildiniu, pasiekiančiu PAM ar RADIUS, ar deriniu, tada patikrinkite, ar kiekviena parinktis išsaugo reikiamas savybes. Bendras sertifikatas be kiekvieno naudotojo tapatybės yra vienas prisijungimas visiems, kas jį turi. Atšaukimas taip pat turi veikti nuo pirmos dienos, o Community OpenVPN tai reiškia CRL failą, į kurį nurodo crl-verify, ir procesą, kuris jį atkuria.

Registraciją planuokite prieš perėjimą, o ne po jo. Nauji sertifikatai, išbandytas atšaukimo kelias ir dokumentuotas būdas išjungti vieną žmogų yra būtinos sąlygos, o ne vėlesnis darbas. Jei daugiafaktoris autentifikavimas atėjo iš senojo produkto integracijos, aiškiai įvardykite pakaitalą, nes neįdiegtas papildinys nepavyksta uždarai pačiu blogiausiu metu.

Maršrutizavimas ir vardų skyrimas seka konfigūracijos rašytoją

Maršrutai, DNS nustatymai ir viso tunelio elgsena yra stumiamos parinktys abiejuose produktuose, bet tik vienas jas apskaičiuoja už jus. Community OpenVPN jūs patys rašote push direktyvas, nusprendžiate, ar redirect-gateway priklauso serveriui, ar klientui, ir patvirtinate, kad hoste yra persiuntimas ir NAT. Baigtas rankos paspaudimas nieko nesako apie persiuntimą, adresų vertimą ar maršrutus, kuriuos klientas iš tikrųjų gavo.

Kiekvieno kliento elgsenai reikia client-config-dir ir failo, pavadinto kliento sertifikato common name vardu, o svetainės su svetaine porai reikia iroute įrašų už jos esantiems prefiksams. Jei pavadinimas neteisingas, parinktys ignoruojamos be klaidos. Išbandykite su vienu neprodukciniu klientu jo paties adresų telkinyje, tada perskaitykite jam priskirtą adresą, gautus maršrutus ir resolverio nustatymus, su kuriais jis baigė.

Sudėliokite perėjimą taip, kad senoji tarnyba galėtų grįžti

Paleiskite naują klausytoją kitame porte ar adrese ir palikite senąjį aptarnauti srautą, kol įrodote pakaitalą. Du demonai viename lizde nėra atsitraukimo planas.

Perkelkite po vieną grupę, su jos sertifikatais, jos telkiniu ir jos maršrutais, ir repetuokite grįžimo kelią, o ne atraskite jį incidento metu. Atsitraukimas, kuris veikia tik jei pirmiausia sustabdoma nauja tarnyba, vis tiek yra atsitraukimas, bet jį reikia išbandyti, kai niekas nedega.

Galiausiai išvardykite funkcijas be tiesioginio atitikmens ir raštu nuspręskite kiekvienos likimą: savitarnos profilio atsisiuntimas, kiekvieno naudotojo leidimų vėliavėlės, pati administravimo sąsaja, tiesioginių ryšių ataskaitos. Pakeisti jas dokumentuotu rankiniu procesu yra teisėtas atsakymas. Palikti eilutę tuščią nėra.

Darbas baigtas, kai naudotojas, niekada nematęs senojo portalo, gali užsiregistruoti, prisijungti, pasiekti numatytą vidinį adresą ir būti švariai atšauktas. Viskas prieš tai yra pasirengimas.