OpenVPN įrenginio maršrutas: konfigūracijos savininkas ar paleidimo scenarijus?
Filialo maršrutas, išgyvenęs vieną perkrovimą, vis tiek gali dingti po išsaugojimo GUI ar programinės įrangos atnaujinimo. Palyginkite palaikomą konfigūracijos savininką su pataisų scenarijumi.
Pridedate filialo maršrutą, jis veikia, o tada programinės įrangos atnaujinimas arba išsaugojimas žiniatinklio sąsajoje jį pašalina. Du pataisymai tuo metu atrodo vienodai pagrįsti: įdėti maršrutą į palaikomą įrenginio konfigūracijos šaltinį arba prirašyti jį prie sugeneruoto failo iš paleidimo scenarijaus. Jie elgiasi taip pat savaitę ir išsiskiria antrojo atnaujinimo metu. Šis straipsnis lygina, ką iš tikrųjų valdo kiekvienas.
Du kandidatai valdo skirtingus dalykus
Palaikomas konfigūracijos šaltinis yra viskas, ką įrenginys traktuoja kaip įvestį: GUI laukas, importuotas profilis, dokumentuotas katalogas kiekvienam klientui, nustatymų duomenų bazė, kurią skaito valdymo paketas. Sugeneruotas server.conf yra išvestis. Išvesties redagavimas veikia tol, kol generatorius vėl nepasileidžia, o tai įvyksta išsaugant, perkraunant ir atnaujinant.
Scenarijaus metodas pataiso tą išvestį po to, kai generatorius baigia. Tai teisėta technika laboratorijai, ir tai netinkama numatytoji reikšmė filialo biurui, nes maršrutas tampa priklausomas nuo teksto atitikimo, o ne nuo dokumentuoto lauko.
| Question | Supported config source | Post-generation script |
|---|---|---|
| Survives a GUI save | Yes | Only if the save does not regenerate the file |
| Survives a package upgrade | Usually, when the field is documented | No guarantee; the wrapper can be replaced |
| Supportable by the vendor | Yes | No |
| Obvious to the next admin | Yes, it is in the UI | No, it lives in a wrapper |
Ką įrenginys regeneruoja, ir kada
Valdymo paketai paprastai laiko nustatymus duomenų bazėje arba šablonų rinkinyje ir generuoja tarnybos konfigūraciją paleidžiant. Išsaugojimas žiniatinklio sąsajoje dažnai perrašo visą failą, o ne pataiso eilutę. Jei jūsų pakeitimas gyveno tame faile, dabar jo nebėra, ir niekas neįrašo įspėjimo, nes įrenginio požiūriu nieko nebuvo prarasta.
Paleidimo apvalkalai turi antrą gedimo režimą. grep direktyvai su tam tikru tarpu nustoja atitikti po šablono pakeitimo, o scenarijus tyliai nieko nedaro. Blogiau, programinės įrangos atnaujinimas gali pakeisti apvalkalą nauja versija ir pasiimti pataisą su savimi. Tada turite maršrutą, kuris egzistavo metus ir dingo techninės priežiūros metu, kurios niekas nesusiejo su maršrutizavimu.
Ką turi išreikšti palaikomas savininkas
Filialo prefiksui reikia trijų teiginių, o ne vieno. Klientas turi išmokti maršrutą, serveris turi žinoti, kuris autentifikuotas klientas valdo prefiksą, o filialo pusė turi grąžinti srautą į jai duotą tunelio adresą. OpenVPN terminais tai reiškia stumiamą route, prie kliento pririštą atitinkamą iroute ir grąžinimo kelią kitoje pusėje.
Čia įrenginių sąsajos klaidina. Žymimasis laukelis su užrašu „leisti klientams pasiekti serverio LAN“ aprašo srautą į paties serverio tinklą. Jūsų filialas yra priešinga kryptis: tinklas už vieno kliento, pasiekiamas iš serverio pusės. Tas pats užrašas nereiškia to palaikymo, o galiojanti direktyva faile nėra pažadas, kad paketas ją išsaugos.
Kai nėra palaikomo valdymo
Kartais įdiegtas leidimas tikrai negali išreikšti konkretaus partnerio maršruto. Tada sąžiningos parinktys yra kita jūsų valdoma šliuzo sąsaja arba palaikomas „svetainė prie svetainės“ režimas abiejuose galuose. Abu galai turi jį kalbėti. Produkto puslapis, kuriame sakoma „svetainė prie svetainės“, nepadaro savavališko OpenVPN profilio keičiamu su kito protokolo tuneliu, o tos poros privertimas paprastai sukuria pusiau prijungtą tunelį, kuris gerai atrodo būsenos puslapyje.
Pasirinkite variantą, kurį galite apibūdinti vienu sakiniu tam, kas paveldės tinklą. Jei atsakymui reikia paminėti scenarijaus kelią ir teksto šabloną, dizainas jau trapus.
Padarykite ketinimą audituojamą
Užrašykite sutartį už įrenginio ribų: veiksminga kliento tapatybė, prefiksas, grąžinimo šliuzas ir palaikomas laukas, kuris kiekvieną jų pateikia. Eksportuokite konfigūraciją palaikomu mechanizmu, kad perstatymas turėtų nuorodą, ir patikrinkite paslaugą po pakartotinio prisijungimo, perkrovimo ir atnaujinimo, o ne tik po pakeitimo.
Kai kas nors sugenda, palyginkite sugeneruotą rezultatą su tuo įrašu, o ne atkurkite nepaaiškintą eilutę ir tikėkitės.OpenVPN 2.6 nuoroda yra vieta patvirtinti, kaip route ir iroute sąveikauja, prieš ginčydamiesi su sąsaja.
Kito pakeitimo kontrolinis sąrašas: įvardykite savininką, nurodykite trijų dalių sutartį, eksportuokite ketinimą ir iš naujo išbandykite po pačių įrenginio gyvavimo ciklo įvykių, o ne po savo redagavimo.