OpenVPN apkopes loga plānošana, nezaudējot saimnieku

VPN pakalpojuma restartēšana pārtrauc katru sesiju, kas to izmanto, tāpēc logs jābūvē ap sarunām, nevis ap pakotņu pārvaldnieku. Lietotājiem vajag pietiekamu brīdinājumu, lai pabeigtu jutīgu darbu, un tev vajag ceļu atpakaļ, kas nav atkarīgs no tuneļa, kuru gatavojies apturēt. Viss pārējais rokasgrāmatā ir tāpēc, lai šos divus faktus varētu pārvaldīt. Izlaid kaut vienu un parasta atjaunināšana kļūst par pārtraukumu bez izejas.

Zemāk esošā secība ir apzināta: katrs posms rada kaut ko, kas vajadzīgs nākamajam, un jebkurš posms var izbeigt izmaiņas pirms to sākšanas.

Reģistrē esošo pakalpojumu pirms tā maiņas

Lasi instalēto unit, nevis to, kuru atceries rakstījis: systemctl cat [email protected] izdrukā unit un visus drop-in, bet systemctl show [email protected] -p ExecStart -p User -p WorkingDirectory parāda, kas patiešām darbojas un kā. Jautā bināro failu, kuru nosauc šis unit, jo openvpn --version no čaulas var atrisināties uz citu būvējumu. Pieraksti profila ceļu un katru failu, uz kuru tas atsaucas.

Pievērs uzmanību arī klausīšanās ligzdām: ss -lunp | grep 1194 pasaka, kura adrese un protokols dēmonam šodien pieder. Ja atbilde nav tā, ko piedāvā profils, to pārraksta drop-in vai vides fails, un atjauninājums mantos šo pārsteigumu.

Saliec atjaunošanas komplektu, ko varētu izmantot kāds cits

Atjaunošanas komplektam jābūt lietojamam kolēģim 03:00 bez tava konteksta. Iekļauj efektīvo konfigurāciju ar katru norādīto failu, uzticības un atsaukšanas materiālu PKI īpašnieka kontrolē, katram klientam piešķīrumus un hook, un precīzās šodien instalētās pakotnes versijas. Viena faila nosaukuma kopija nav konfigurācija. Glabā to vietā, kur dežūrējošais operators to sasniedz bez VPN.

Piekļuves kontroles attiecas arī uz šo komplektu, jo tajā ir privātās atslēgas vai backend akreditācijas dati. Nepārbūvē CA un neizdod identitātes no jauna tikai tāpēc, ka mainījās pakotnes versija.

Trenējies izmēģinājuma klausītājā ar īstu klientu

Palaid kandidāta laidienu atsevišķā klausītājā ar savu portu un adrešu plānu, nevis blakus ražošanas instancēi tajā pašā ligzdā. Savienojies ar klientu dzinējiem, kurus tavi lietotāji patiešām lieto, ieskaitot neērto. Pārbaudi adrešu piešķiršanu, uzbīdīto DNS, vienu svarīgu lietojumprogrammu un vienu ceļu, kam jāpaliek bloķētam. Pielāgotajiem hook ir jādarbojas pakalpojuma reālajā privilēģiju un failu sistēmas kontekstā, jo root čaula par tiem neko nepierāda.

Lasi laidiens piezīmes uzvedības izmaiņu dēļ, ne tikai jaunu funkciju dēļ. Šifrēšanas un TLS noklusējumi pārvietojas starp versijām, un profils, kas vēl jāparsē, tomēr var neizdot rokas spiedienu. Ja atjauninājumam vajadzīgas profila vai sertifikāta izmaiņas, plāno to kā atsevišķu soli, nevis iepako pakotnes atjauninājumā.

Pārslēdzies vienreiz, no ceļa ārpus tuneļa

Sāc logu no konsoles vai pārvaldības tīkla, kas neiet cauri pakalpojumam. Apstiprini, ka lietotāji informēti un otrs operators zina, kā atritināt. Piemēro sagatavotās izmaiņas caur to īpašnieku, pēc tam restartē ar sudo systemctl restart [email protected] un seko žurnālam ar journalctl -u openvpn-server@office -b -f. Pārielāde ir pietiekama, ja mainījās tikai unit definīcijas; mainītam profilam vajag procesa restartu.

Gaidī, ka katrs klients savienosies no jauna, un gaidī, ka dažas lietojumprogrammu sesijas neturpināsies. Saskaņo tīru pauzi ar noslodzēm, kas to nepieļauj.

Pieņem vai atritini, tad pastāsti lietotājiem, kas mainījās

Pieņemšana nozīmē svaigu pieteikšanos, īstu darbību un joprojām spēkā esošos ierobežojumus. Aktīvs unit un zaļa statusa rinda ir procesa fakti. Ja kritēriji loga laikā neizpildās, atritini ar sagatavoto metodi, nevis atjaunojot vienu failu un cerot; mainīts binārais fails vai pakalpojuma politika pārdzīvo konfigurācijas atjaunošanu. Saglabā jebkuru atsaukšanas vai autorizācijas izmaiņu, kas veikta loga laikā, lai atritināšana neatsauktu drošības darbu.

Pieraksti versijas, profila izmaiņas un pieņemšanas rezultātus nākamajam operatoram, izved izmēģinājuma klausītāju no lietošanas un pasaki lietotājiem, kuru profilu tagad lietot. Logs, kas beidzas bez šīs piezīmes, nākamajā atjauninājumā tiek pārrunāts no jauna.