OpenVPN ierīces maršruts: konfigurācijas īpašnieks vai palaišanas skripts?
Filiāles maršruts, kas pārdzīvo vienu pārstartēšanu, joprojām var pazust pēc saglabāšanas GUI vai programmaparatūras atjauninājuma. Salīdziniet atbalstīto konfigurācijas īpašnieku ar labošanas skriptu.
Jūs pievienojat filiāles maršrutu, tas darbojas, un tad programmaparatūras atjauninājums vai saglabāšana tīmekļa saskarnē to noņem. Divi labojumi tajā brīdī šķiet vienlīdz saprātīgi: ievietot maršrutu ierīces atbalstītajā konfigurācijas avotā vai pievienot to ģenerētajai failai no palaišanas skripta. Tie nedēļu uzvedas vienādi un otrajā jauninājumā atšķiras. Šis raksts salīdzina, ko katrs no tiem patiešām pārvalda.
Abi kandidāti pārvalda dažādas lietas
Atbalstītais konfigurācijas avots ir viss, ko ierīce uzskata par ievadi: GUI lauks, importēts profils, dokumentēta direktorija katram klientam, iestatījumu datubāze, ko nolasa pārvaldības pakotne. Ģenerētais server.conf ir izvade. Izvades rediģēšana darbojas, līdz ģenerators atkal darbojas, un tas notiek saglabāšanas, pārstartēšanas un jaunināšanas laikā.
Skripta pieeja labo šo izvadi pēc tam, kad ģenerators ir pabeigts. Tā ir likumīga metode laboratorijai, un tā ir nepareiza noklusējuma vērtība filiāles birojam, jo padara maršrutu atkarīgu no teksta atbilstības, nevis no dokumentēta lauka.
| Question | Supported config source | Post-generation script |
|---|---|---|
| Survives a GUI save | Yes | Only if the save does not regenerate the file |
| Survives a package upgrade | Usually, when the field is documented | No guarantee; the wrapper can be replaced |
| Supportable by the vendor | Yes | No |
| Obvious to the next admin | Yes, it is in the UI | No, it lives in a wrapper |
Ko ierīce ģenerē no jauna, un kad
Pārvaldības pakotnes parasti glabā iestatījumus datubāzē vai veidņu kopā un palaišanas brīdī ģenerē dēmona konfigurāciju. Saglabāšana tīmekļa saskarnē bieži pārraksta visu failu, nevis labo vienu rindu. Ja jūsu izmaiņa dzīvoja šajā failā, tā tagad ir pazudusi, un nekas neieraksta brīdinājumu, jo no ierīces viedokļa nekas netika zaudēts.
Palaišanas iesaiņotājiem ir otrs atteices režīms. grep direktīvai ar noteiktu atstarpi pārstāj atbilst pēc veidnes maiņas, un skripts klusi neko nedara. Vēl ļaunāk, programmaparatūras atjauninājums var aizstāt iesaiņotāju ar jaunu versiju, paņemot līdzi labojumu. Tad jums ir maršruts, kas pastāvēja gadu un pazuda apkopē, ko neviens nesaistīja ar maršrutēšanu.
Kas atbalstītajam īpašniekam ir jāizsaka
Filiāles prefiksam vajadzīgi trīs apgalvojumi, nevis viens. Klientam jāiemācās maršruts, serverim jāzina, kurš autentificētais klients pārvalda prefiksu, un filiāles pusei jāatgriež trafiks uz tai piešķirto tuneļa adresi. OpenVPN izteiksmē tas nozīmē nosūtītu route, klientam piesaistītu atbilstošu iroute un atgriešanās ceļu otrā pusē.
Šeit ierīču saskarnes maldina. Izvēles rūtiņa ar apzīmējumu „ļaut klientiem piekļūt servera LAN“ apraksta trafiku uz paša servera tīklu. Jūsu filiāle ir pretējais virziens: tīkls aiz viena klienta, sasniedzams no servera puses. Tas pats apzīmējums nenozīmē atbalstu tam, un derīga direktīva failā nav solījums, ka pakotne to saglabās.
Kad atbalstītas vadības nav
Dažkārt instalētā versija patiešām nevar izteikt konkrētam partnerim raksturīgu maršrutu. Tad godīgās iespējas ir cita jūsu kontrolēta vārteja vai atbalstīts vietnes-uz-vietni režīms abos galos. Abiem galiem tas ir jārunā. Produkta lapa, kurā teikts vietne-uz-vietni, nepadara patvaļīgu OpenVPN profilu apmaināmu ar citas protokola tuneli, un šī pāra uzspiešana parasti rada pusē savienotu tuneli, kas labi izskatās statusa lapā.
Izvēlieties iespēju, ko varat aprakstīt vienā teikumā tam, kas manto tīklu. Ja atbildei jāpiemin skripta ceļš un teksta modelis, dizains jau ir trausls.
Padariet nodomu auditejamu
Ierakstiet līgumu ārpus ierīces: faktiskā klienta identitāte, prefikss, atgriešanās vārteja un atbalstītais lauks, kas nodrošina katru no tiem. Eksportējiet konfigurāciju ar atbalstīto mehānismu, lai pārbūvei būtu atsauce, un pārbaudiet pakalpojumu pēc atkārtotas savienošanas, pārstartēšanas un jaunināšanas, nevis tikai pēc izmaiņām.
Kad kaut kas salūzt, salīdziniet ģenerēto rezultātu ar šo ierakstu, nevis atjaunojiet neizskaidrotu rindu un ceriet.OpenVPN 2.6 uzziņa ir vieta, kur apstiprināt, kā route un iroute mijiedarbojas, pirms strīdēties ar saskarni.
Kontrolsaraksts nākamajai izmaiņai: nosauciet īpašnieku, norādiet trīsdaļīgo līgumu, eksportējiet nodomu un pārbaudiet vēlreiz pēc pašas ierīces dzīves cikla notikumiem, nevis pēc jūsu rediģējuma.