OpenVPN priežiūros lango planavimas neprarandant pagrindinio kompiuterio

VPN tarnybos perkrovimas nutraukia kiekvieną ją naudojančią sesiją, todėl langas turi būti statomas aplink pokalbius, o ne aplink paketų tvarkyklę. Naudotojams reikia pakankamai išankstinio įspėjimo, kad baigtų jautrų darbą, o jums reikia kelio atgal, kuris nepriklausytų nuo tunelio, kurį ketinate sustabdyti. Visa kita vadove egzistuoja tam, kad šie du faktai būtų valdomi. Praleiskite bet kurį ir įprastas atnaujinimas taps sustojimu be išeities.

Žemiau pateikta tvarka yra tyčinė: kiekvienas etapas sukuria tai, ko reikia kitam, ir bet kuris etapas gali užbaigti pakeitimą prieš jam prasidedant.

Užfiksuokite esamą tarnybą prieš ją keisdami

Skaitykite įdiegtą unit, o ne tą, kurią prisimenate rašę: systemctl cat [email protected] išspausdina unit ir visus drop-in, o systemctl show [email protected] -p ExecStart -p User -p WorkingDirectory parodo, kas iš tikrųjų vykdoma ir kuo. Pasiteiraukite binarinio failo, kurį nurodo ta unit, nes openvpn --version iš apvalkalo gali išsispręsti į kitą rinkinį. Užrašykite profilio kelią ir kiekvieną failą, į kurį jis nurodo.

Atkreipkite dėmesį ir į klausymo lizdus: ss -lunp | grep 1194 pasako, kokį adresą ir protokolą šiandien turi demonas. Jei atsakymas ne toks, kokį siūlo profilis, jį perrašo drop-in arba aplinkos failas, ir atnaujinimas paveldės šį netikėtumą.

Surinkite atkūrimo rinkinį, kuriuo galėtų naudotis kas nors kitas

Atkūrimo rinkinys turi būti naudingas kolegai 03:00 be jūsų konteksto. Įtraukite veiksmingą konfigūraciją su kiekvienu nurodytu failu, pasitikėjimo ir atšaukimo medžiagą, kurią kontroliuoja PKI savininkas, priskyrimus ir hook kiekvienam klientui bei tikslias šiandien įdiegtas paketų versijas. Vieno failo pavadinimo kopija nėra konfigūracija. Laikykite ją ten, kur budintis operatorius gali pasiekti be VPN.

Prieigos kontrolė taikoma ir tam rinkiniui, nes jame yra privatūs raktai arba backend prisijungimo duomenys. Neperstatykite CA ir neišduokite tapatybių iš naujo vien todėl, kad pasikeitė paketo versija.

Išbandykite bandomajame klausytojuje su tikru klientu

Paleiskite kandidatinį leidimą atskirame klausytojuje su savo prievadų ir adresų planu, o ne šalia gamybinės kopijos tame pačiame lizde. Prisijunkite tais klientų varikliais, kuriuos jūsų naudotojai tikrai naudoja, įskaitant ir nepatogųjį. Patikrinkite adresų priskyrimą, stumiamą DNS, vieną svarbią programą ir vieną kelią, kuris turi likti užblokuotas. Pasirinktiniai hook turi veikti tikroje tarnybos privilegijų ir failų sistemos aplinkoje, nes root apvalkalas apie juos nieko neįrodo.

Skaitykite leidimo pastabas dėl elgsenos pakeitimų, o ne tik dėl naujų funkcijų. Šifravimo ir TLS numatytosios reikšmės keičiasi tarp versijų, ir profilis, kuris dar analizuojamas, vis tiek gali nepavykti per rankos paspaudimą. Jei atnaujinimui reikia profilio ar sertifikato pakeitimų, planuokite tai kaip atskirą žingsnį, o ne įpakuokite į paketo atnaujinimą.

Perjunkite vieną kartą, iš kelio už tunelio ribų

Pradėkite langą iš konsolės ar valdymo tinklo, kuris neina per tarnybą. Patvirtinkite, kad naudotojai įspėti ir antrasis operatorius žino, kaip grąžinti atgal. Taikykite paruoštą pakeitimą per jo savininką, tada perkraukite su sudo systemctl restart [email protected] ir stebėkite žurnalą su journalctl -u openvpn-server@office -b -f. Perkrovimo pakanka, kai pasikeitė tik unit apibrėžtys; pasikeitusiam profiliui reikia perkrauti procesą.

Tikėkitės, kad kiekvienas klientas prisijungs iš naujo, ir tikėkitės, kad kai kurios programų sesijos neatsinaujins. Suderinkite švarų sustojimą su tomis apkrovomis, kurios to nepakelia.

Priimkite arba grąžinkite atgal, tada pasakykite naudotojams, kas pasikeitė

Priėmimas yra naujas prisijungimas, tikra operacija ir vis dar galiojantys apribojimai. Aktyvi unit ir žalia būsenos eilutė yra proceso faktai. Jei kriterijai nepavyksta lango viduje, grąžinkite paruoštu metodu, o ne atkurdami vieną failą ir tikėdamiesi; pakeistas binarinis failas ar tarnybos politika išlieka po konfigūracijos atkūrimo. Išsaugokite bet kokį atšaukimo ar įgaliojimo pakeitimą, atliktą per langą, kad grąžinimas nepanaikintų saugumo darbo.

Užrašykite versijas, profilio pakeitimus ir priėmimo rezultatus kitam operatoriui, išveskite bandomąjį klausytoją iš naudojimo ir pasakykite naudotojams, kurį profilį naudoti dabar. Langas, kuris baigiasi be šios pastabos, vėl svarstomas per kitą atnaujinimą.