OpenVPN klienta atkārtota savienošana: trīs vadīklas, trīs apjomi

Kāds lūdz atkārtoti savienot VPN klientu, un šis lūgums var nozīmēt trīs dažādas lietas. Tas var nozīmēt vienas autentificētas sesijas nomešanu, katra klienta informēšanu, ka UDP serveris aiziet, vai paša dēmona pārstartēšanu. Katram ir atšķirīgs ietekmes rādiuss, un nepareiza izvēle viena lietotāja labojumu pārvērš visas pakalpojuma pārtraukumā. Apjoms ir lēmums, un komanda izriet no tā.

Pirms jautājat, kuru vadīklu izmantot, pajautājiet, ko tas skar.

Viena instance: pārvaldības saskarne

Konfigurēta pārvaldības saskarne var uzskaitīt savienotās instances un nomest tieši vienu no tām. Katra sesija nes klienta identifikatoru, un client-kill CID mērķē uz šo identifikatoru, nevis uz kopīgu nosaukumu. Lasiet dzīvo identifikatoru no pašreizējās statusa izvades, jo vērtība, kas nokopēta no vecāka žurnāla, attiecas uz sesiju, kuras vairs nav. Instances nomešana beidz to savienojumu un neko citu.

Tas negarantē jaunu savienojumu. Vai klients atgriezīsies, ir atkarīgs no tā atkārtošanas iestatījumiem, atlikušajiem attālinātajiem ierakstiem, autentifikācijas prasībām un no tā, vai uzraugošā lietojumprogramma joprojām darbojas. Atgriezies klients iegūst jaunu identifikatoru, tāpēc identifikatoru salīdzināšana ir vienīgais uzticamais veids, kā atšķirt veco no jaunā.

UDP izejas paziņojums nav komanda katram klientam

explicit-exit-notify ir konfigurācijas direktīva par izejas un pārstartēšanas notikumiem. UDP klientā tā paziņo otrai pusei, ka sesija beidzas, un skaitliskais arguments kontrolē, cik reižu paziņojums tiek atkārtots. Kad serveris darbojas UDP, tas sūta pārstartēšanas vadības ziņojumu saviem savienotajiem klientiem, un dokumentētās vērtības atšķir atkārtotu savienošanu ar to pašu serveri no pārejas uz citu attālināto ierakstu. Tas ir dzīves cikla signāls plašai auditorijai.

Nekas tajā neizvēlas patvaļīgu klientu patvaļīgā brīdī. Uztverot to kā atkārtotas savienošanas pogu, tiek sasniegtas visas savienotās sesijas vienlaikus.

Signāli iedarbojas uz procesu, nevis uz sesiju

SIGUSR1 lūdz darbojošos procesu pārstartēt savienojumu, neizlasot konfigurāciju no jauna, un noturības opcijas nosaka, kas pārdzīvo šo pārstartēšanu. SIGHUP iet tālāk: tas no jauna nolasa konfigurācijas failu un no jauna atver savus resursus. SIGTERM un SIGINT lūdz sakārtotu izslēgšanu. Tās ir procesa līmeņa darbības: daudzklientu serverī tās skar katru sesiju, ko process nes, nevis to, kas nosaukta pieteikumā.

Kad process darbojas pakalpojumu pārvaldnieka vadībā, izmantojiet pārvaldnieka paša vadību, nevis sūtiet signālu uz PID, ko atradāt procesu sarakstā. Izlasiet unit failu, lai redzētu, kādu signālu pārvaldnieks sūta, jo pārstartēšana un pārielāde dara dažādas lietas tam pašam dēmonam.

Nosakiet apjomu pirms vadīklas izvēles

Trīs jautājumi to izšķir. Ko tas skar: vienu lietotāju, visus viena servera klientus vai dēmonu un visu, ko tas nes. Kam jāpaliek: konfigurācijai, tuneļa stāvoklim vai nevienam. Kas tam ir pilnvarots: pārvaldības integrācija, pakalpojuma īpašnieks vai tīkla operators, kas kontrolē izejas paziņojumu. Atbildiet uz to, un der tikai viena vadīkla.

Neautentificēta pārvaldības klausītāja pievienošana, lai iegūtu atkārtotas savienošanas pogu, nodod ikvienam, kas sasniedz portu, daudz vairāk nekā šo pogu.

Pārbaudiet jauno sesiju, nevis atvienošanos

Atvienošanās notikums pierāda, ka vecā sesija beidzās. Tas neko nepasaka par jaunu sesiju, kas autentificējas, saņem adresi, instalē maršrutus vai sasniedz resursu, kas lietotājam bija vajadzīgs. Pārbaudiet jauno identifikatoru, pēc tam tuneļa stāvokli, pēc tam vienu īstu resursu. Šie trīs soļi ir atšķirība starp atkārtotu savienošanu un strādājošu savienojumu.

Ierakstiet apjomu izmaiņu žurnālā. „Es atkārtoti savienoju klientu” nav apraksts, ja klients bija viens no četrdesmit koplietotā serverī.