OpenVPN iestatījumi maršrutētājā pēc pārstartēšanas atgriežas: salabojiet ģeneratoru

Patērētāju maršrutētāja vai NAS programmaparatūra bieži katrā palaišanā no jauna būvē OpenVPN konfigurāciju, tāpēc jūsu pievienotā direktīva izdzīvo tieši līdz nākamajai palaišanai. Tas pats attiecas uz atslēgām, kas ierakstītas tīmekļa formā, kur saglabātā vērtība pēc saglabāšanas var atgriezties bojāta. Neviens no šiem simptomiem nenozīmē, ka izmaiņa tika noraidīta. Tas nozīmē, ka rediģējums nonāca failā, ko programmaparatūra uzskata par izvadi, un ka pastāvīgā vieta ir vienu soli agrāk palaišanas secībā.

Kāpēc rediģētais fails tiek ģenerēts no jauna

Palaišanas skripts saliek servera konfigurāciju no veidnes un pēc tam palaiž dēmonu, kas padara renderēto failu par būvēšanas artefaktu, nevis avotu. Viss, kas tiek pievienots pēc palaišanas, šī skripta nākamajai izpildei nav redzams. Otrais modelis ir smalkāks: atslēgas un sertifikāta ievades tīmekļa saskarnē tiek glabātas aizbēgtā formā, un formas saglabāšana var iebīdīt šo aizbēgto tekstu failā, ko lasa dēmons. Jebkurā gadījumā renderētā konfigurācija ir nepareizā vieta paliekošām izmaiņām.

Apskatiet, ko palaišanas secība ieraksta un kad. Atbilde gandrīz vienmēr ir skripts programmaparatūras init vai automātiskās palaišanas mapē.

Ievietojiet direktīvu tur, kur skripts būvē failu

QTS ierīces no jauna ģenerē OpenVPN servera konfigurāciju init skriptā, kas palaiž dēmonu, tāpēc rediģējumam jānotiek tur. Pievienojumu ievietojiet tieši pirms palaišanas komandas, nevis rediģējiet ģenerēto failu.

sed -i '/daemon_mgr/i echo client-config-dir clientconfig >>/etc/openvpn/server.conf' /etc/init.d/vpn_openvpn.sh
grep -c client-config-dir /etc/openvpn/server.conf

Noenkurojiet ievietojumu komandai, kas nekustēsies, jo rindu numuri mainās starp būvēm. Tā kā pats init skripts palaišanas laikā tiek aizstāts, izmaiņa katrā sistēmas palaišanas reizē ir jāizdod no jauna no programmaparatūras automātiskās palaišanas āķa. Pēc vienas pārstartēšanas saskaitiet gadījumus ģenerētajā failā: viena rinda nozīmē, ka ielāps darbojās, bet divas nozīmē, ka āķis darbojas vairāk nekā vienu reizi. Divkāršo palaišanu izmeklējiet atsevišķi, jo tā nav tā pati kļūda kā pazudušas izmaiņas.

Salabojiet formu, kas saglabāja aizbēgtas atslēgas

Asus stila lapās sertifikāta un atslēgas lauki rāda aizbēgtu tekstu, un saglabāšana pēc nesaistītas korekcijas var šos subjektus atkal ierakstīt diskā. Strādājiet no atšifrētas kopijas un saglabājiet tikai vienu reizi, kad visas izmaiņas ir gatavas.

openssl dhparam -out dh2048.pem 2048
grep -n "BEGIN DH PARAMETERS" dh2048.pem

Aizstājot jaunu parametru kopu, ielīmējiet tikai base64 kravu, ja etiķete prasa atslēgas ķermeni, un paturiet bruņu rindas tikai tad, kad lauks sagaida pilnu PEM bloku. Jau aizbēgtā formā saglabātas lapas atgūšana parasti nozīmē skarto ievadu notīrīšanu un piemērošanu, kas ļauj programmaparatūrai tos no jauna uzbūvēt. Ģenerējiet visu, kas pārsniedz 2048 bitus, darbstacijā, jo maršrutētāja entropijas piegāde padara darbību lēnu un dažkārt neuzticamu. Glabājiet parametru failu vietā, kur varat tai piekļūt pēc rūpnīcas atiestatīšanas.

Pēc atjauninājumiem pārbaudiet vēlreiz

Programmaparatūras atjauninājumi aizstāj init skriptus un var izdzēst automātiskās palaišanas mapi, tāpēc ielāps ir jāinstalē un jāpārbauda no jauna. Salīdziniet no jauna ģenerēto failu ar saglabāto kopiju un apstipriniet, ka direktīva ir tieši vienu reizi. Tīmekļa saskarnē redzamā vērtība nav pierādījums, ka dēmons to ir saņēmis, jo lapa lasa saglabātos laukus. Ierakstiet ielāpa komandu un programmaparatūras versiju apkopes piezīmēs, lai nākamais atjauninājums tās pārņemtu.

Pēc tam pievienojiet klientu un izlasiet servera žurnālā nosūtīto opciju. Iestatījums, kas kādreiz pastāvēja tikai formā, ir iestatījums, ko neviens nav pārbaudījis.