No Access Server uz Community OpenVPN: kas jāpārbūvē

Access Server un Community OpenVPN runā vienā protokolā un gandrīz nekas cits nav vienādi. Rokasspiediens, šifru saskaņošana un tuneļa datu plakne ir savietojami, tāpēc klients bieži var pieslēgties abiem, nemainot savu profilu. Atšķirība ir tajā, kam pieder konfigurācija: viens produkts piegādā pārvaldības slāni, kas raksta un piemēro politiku, otrs iedod konfigurācijas failu un āķu kopumu un gaida, ka izlemsiet paši.

Šī atšķirība ir migrācijas plāns. Viss, ko vecais produkts izlēma jūsu vietā, jaunajā izvietojumā kaut kur jākļūst par skaidru lēmumu.

Kur abi izvietojumi pārstāj būt aizstājami

Access Server tīmekļa administrācijas saskarne pārvalda lietotājus, grupas, katra lietotāja atļaujas, sertifikātu izsniegšanu un profila paketi, ko cilvēks lejupielādē. Apakšā esošo dēmonu konfigurē šis slānis, tāpēc darbojošais serviss ir saglabāta stāvokļa rezultāts, ko reti labojat ar roku. Community OpenVPN konfigurācijas fails ir pats stāvoklis: tas nosauc klausītāju, sertifikātu iestādi, autentifikācijas āķi un katru virzīto opciju, un nekas to nepārraksta jūsu vietā. Tā pati TLS mašīna tādējādi atrodas zem diviem ļoti atšķirīgiem īpašumtiesību modeļiem.

Īss kartējums padara plaisu konkrētu. Lietotāji un grupas pastāv tikai vecajā datubāzē, līdz tos izveidojat no jauna. Profila paketes kļūst par konfigurācijas failu un sertifikātiem, ko izplatāt paši. Katra lietotāja atļaujas kļūst par direktīvām client-config-dir. Administrācijas saskarne kļūst par procesu, ko izvēlaties sertifikātu izsniegšanai un failu rediģēšanai.

Pierakstiet šo kartējumu pirms pieskaraties serverim. Katra rinda, ko nevarat aizpildīt, ir funkcija, ko tūlīt zaudēsiet, un klusa zaudēšana ir ceļš, kā migrācija pēc divām nedēļām kļūst par pārtraukumu.

Identitāte nepārnāk kopā ar sertifikātu failiem

Vecās iestādes sertifikāti var tikt pareizi parsēti jaunajā servisā un tomēr būt nepareiza identitāte, jo vecais produkts tos savienoja ar konta stāvokli, ko jaunais neredz. Vispirms izlemiet, vai jaunais izvietojums autentificē tikai ar sertifikātu, ar spraudni, kas sasniedz PAM vai RADIUS, vai ar kombināciju, tad pārbaudiet, vai katra opcija saglabā vajadzīgās īpašības. Koplietots sertifikāts bez katra lietotāja identitātes ir viens akreditācijas datu kopums visiem, kam tas ir. Atsaukšanai jādarbojas arī no pirmās dienas, kas Community OpenVPN nozīmē CRL failu, uz kuru norāda crl-verify, un procesu, kas to ģenerē no jauna.

Plānojiet reģistrāciju pirms pārejas, nevis pēc. Jauni sertifikāti, pārbaudīts atsaukšanas ceļš un dokumentēts veids, kā atslēgt vienu cilvēku, ir priekšnosacījumi, nevis turpmāks darbs. Ja daudzfaktoru autentifikācija nāca no vecā produkta integrācijas, skaidri nosauciet aizstājēju, jo neinstalēts spraudnis cieš neveiksmi slēgtā režīmā sliktākajā brīdī.

Maršrutēšana un vārdu izšķiršana seko konfigurācijas rakstītājam

Maršruti, DNS iestatījumi un pilna tuneļa uzvedība ir virzītas opcijas abos produktos, bet tikai viens tās aprēķina jūsu vietā. Community OpenVPN jūs paši rakstāt push direktīvas, izlemjat, vai redirect-gateway pieder serverim vai klientam, un apstipriniet, ka resursdatorā ir pārsūtīšana un NAT. Pabeigts rokasspiediens neko nepasaka par pārsūtīšanu, adrešu tulkošanu vai maršrutiem, ko klients faktiski saņēma.

Katra klienta uzvedībai vajag client-config-dir un failu, kas nosaukts pēc klienta sertifikāta common name, un vietnes uz vietni pārim vajag iroute ierakstus prefiksiem aiz tā. Ja nosaukums ir nepareizs, opcijas tiek ignorētas bez kļūdas. Pārbaudiet ar vienu neprodukcijas klientu tā paša adrešu baseinā, tad nolasiet piešķirto adresi, saņemtos maršrutus un resolvera iestatījumus, ar kuriem tas beidza.

Sakārtojiet pāreju tā, lai vecais serviss varētu atgriezties

Palaidiet jauno klausītāju citā portā vai adresē un ļaujiet vecajam apkalpot satiksmi, kamēr pierādāt aizstājēju. Divi dēmoni vienā savienojumā nav atriteņošanas plāns.

Pārvietojiet vienu grupu vienlaikus ar tās sertifikātiem, tās baseinu un tās maršrutiem, un trenējieties atgriešanās ceļā, nevis atklājiet to incidenta laikā. Atritināšana, kas darbojas tikai tad, ja vispirms aptur jauno servisu, joprojām ir atritināšana, bet tā jāpārbauda, kamēr nekas nedeg.

Visbeidzot, uzskaitiet funkcijas bez tieša ekvivalenta un rakstiski izlemiet katras likteni: pašapkalpošanās profila lejupielāde, katra lietotāja atļauju karodziņi, pati administrācijas saskarne, tiešsaistes savienojumu atskaites. Aizstāt tās ar dokumentētu manuālu procesu ir likumīga atbilde. Atstāt rindu tukšu nav.

Darbs ir pabeigts, kad lietotājs, kurš nekad nav redzējis veco portālu, var reģistrēties, pieslēgties, sasniegt paredzēto iekšējo adresi un tikt tīri atsauktam. Viss pirms tam ir sagatavošanās.