OpenVPN Access Server: restartēt dēmonu vai piemērot iestatījumu

Divi komandas tiek ielīmētas tam, kas izskatās pēc viena un tā paša darba OpenVPN Access Server, un tās dara dažādas lietas. systemctl restart openvpnas aptur un palaiž visu produktu. sacli start paceļ iekšējos pakalpojumus, kas nolasa tikko mainīto konfigurāciju. Izvēle starp tām nav gaumes jautājums: tā ir atkarīga no tā, ko saka paša iestatījuma dokumentācija, vai jūsu sesija iet caur serveri, kuru gatavojaties restartēt, un vai jūs vispār skatāties uz pareizo produktu.

Divi slāņi, viens dēmons

Access Server darbojas kā viena systemd vienība, openvpnas, un šis dēmons pārrauga iekšējos pakalpojumus aiz tīmekļa saskarnes un VPN klausītājus. sacli ir komandrindas saskarne tai pašai instalācijai, adresē /usr/local/openvpn_as/scripts/sacli, un tā var palaist, apturēt un vaicāt šos iekšējos komponentus, neaizstājot vienību.

Tāpēc pastāv abas komandas. Dēmona restarts izpilda visu no jauna, tostarp procesu, kas izbeidz klientu tuneļus. sacli start lūdz jau darbojošos dēmonu pacelt tā komponentus, lai tie nolasītu jauno konfigurāciju, un tieši to lielākā daļa rekvizītu izmaiņu faktiski pieprasa.

Pirmais nosacījums: ko saka iestatījuma dokumentācija

Lasiet tā iestatījuma lapu, kuru mainījāt, nevis to, kuru mainījāt pagājušajā mēnesī. Pēc rekvizīta, kas ierakstīts ar ConfigPut, parasti seko sacli start, un šis pāris ir dokumentētais piemērošanas solis. Klausītāja līmeņa uzvedības izmaiņas vai jebkas, ko lapa apraksta kā tādu, kam nepieciešams pakalpojuma restarts, ir tā klase, kur vienības restarts ir pareizs.

Abas komandas nav savstarpēji aizstājamas, tāpēc minēšanas kļūdas modelis ir asimetrisks. Izmantojot sacli start, kad bija nepieciešams pilns restarts, paliek vecs process, kas joprojām apkalpo iepriekšējo konfigurāciju, un tas izskatās tā, it kā iestatījums būtu ignorēts. Pilns restarts, kad pietiktu ar sacli start, bez iemesla izmet katru pievienoto klientu.

Otrais nosacījums: vai jūsu sesija ir tunelī

Ja pārvaldāt Access Server caur tā sniegto VPN, restarts noņem savienojumu, kas pārvadā jūsu shell. Komanda var pabeigties pēc tam, kad jūsu sesija ir mirusi, tāpēc jums jāmin, vai tā nostrādāja. Tā paša iemesla dēļ sacli start var īslaicīgi pārtraukt sesiju, kad restartējamais komponents apstrādā jūsu datu plūsmu.

Pirms jebkuras komandas turiet atvērtu ārpusjoslas ceļu: pakalpojumu sniedzēja konsoli, hipervizora konsoli vai seriālo sesiju. Šis nosacījums nosaka, kad izpildīt komandu, nevis kuru, un tas ir tas, kas divu minūšu izmaiņas pārvērš pārtraukuma ziņojumā.

Trešais nosacījums: vai tas ir produkts, ko domājat

Access Server nav Community OpenVPN. Kopienas instalācija palaiž tādas vienības kā openvpn@server vai openvpn-client@profile, konfigurācija ir /etc/openvpn, un sacli tur neeksistē. Restartēt katru vienību, kuras nosaukumā ir openvpn, koplietotā hostā ir veids, kā nesaistīti tuneļi krīt kopā.

Nosakiet pirms kaut ko aiztikt: systemctl status openvpnas --no-pager atbild, vai Access Server ir tas, kas darbojas, sacli status uzskaita tā iekšējos komponentus, un systemctl list-units --type=service uzskaita vienības, kuru nosaukumos ir openvpn. Ja pēdējā komanda rāda profila nosaukuma vienības, jūs esat kopienas produktā, un pārējais šeit uz jums neattiecas.

Piemērojiet un pēc tam pārbaudiet tālāk par active

Vienībai, kas ziņo active, ir darbojošs process, un tas nav tas pats, kas strādājošs autentifikācijas ceļš. Pēc piemērošanas soļa pārbaudiet sacli status tiem komponentiem, kuru restartu gaidījāt, apstipriniet, ka vērtība tika saglabāta ar sacli ConfigQuery, un pēc tam veiciet vienu ierobežotu klienta pieteikšanos ar testa kontu.

Pabeidziet ar kaut ko lietojumprogrammas līmenī: sasniedziet privātu resursu caur tuneli, nevis tikai ping uz servera publisko adresi. Rokasspiediens, kas izdodas, kamēr uzspiestais maršruts vai DNS iestatījums ir nepareizs, izturēs visas pakalpojuma pārbaudes un tomēr pievils cilvēku, kurš ziņoja par problēmu.

pakalpojumu sniedzēja pakalpojumu pārvaldības apmācība ir uzziņa par to, kuras darbības pieder sacli, un to ir vērts atvērt pirms lēmuma, ka restarts ir drošais variants.

Lēmums vienā piegājienā

Izejiet cauri šīm četrām rindām un apstājieties pie pirmās, kas atbilst:

• Iestatījuma lapa nosauc sacli start, vai arī tikko izpildījāt ConfigPut: izmantojiet sacli start.
• Lapa pieprasa restartu, vai izmaiņa skar klausītājus, nevis rekvizītus: izmantojiet systemctl restart openvpnas.
• Jūsu shell nāk caur šo serveri: vispirms sagatavojiet konsoles piekļuvi, pēc tam izpildiet komandu, kuru izvēlējās divas rindas augstāk.
• Pārbaude: sacli status, ConfigQuery vērtībai, viena pieteikšanās, viens privāts resurss. Tikai pakalpojuma statuss nav finiša līnija.

Divas no šīm rindām ir pārbaudes un divas ir darbības, un tā ir kārtības jēga. Ja nevarat atbildēt uz produkta jautājumu, apstājieties: komanda, kuru gatavojāties izpildīt, pieder citai instalācijai, un tunelis, kuru nogāzīsiet, nebūs tas, ko domājāt.