Од Access Server до Community OpenVPN: што треба повторно да се изгради

Access Server и Community OpenVPN зборуваат ист протокол и речиси ништо друго на ист начин. Ракувањето, преговарањето за шифри и податочната рамнина на тунелот се компатибилни, па клиентот често може да се поврзе со кој било од двата без да го уредува профилот. Разликата е во тоа кому му припаѓа конфигурацијата: еден производ испорачува слој за управување што пишува и спроведува политика, а другиот ви дава конфигурациска датотека и збир куки и очекува вие да одлучите.

Таа разлика е планот за миграција. Сè што стариот производ одлучил наместо вас мора да стане експлицитна одлука некаде во новото распоредување.

Каде двете распоредувања престануваат да бидат заменливи

Во Access Server, веб-административниот интерфејс ги поседува корисниците, групите, дозволите по корисник, издавањето сертификати и пакетот профил што некој го презема. Демонот под него го конфигурира тој слој, па услугата што работи е производ на зачувана состојба што ретко ја уредувате рачно. Во Community OpenVPN, конфигурациската датотека е состојбата: таа го именува слушателот, органот за сертификати, куката за автентикација и секоја турната опција, и ништо не ја препишува наместо вас. Истата TLS машинерија така стои под два многу различни модели на сопственост.

Кратко мапирање ја прави разликата конкретна. Корисниците и групите постојат само во старата база додека не ги создадете повторно. Пакетите профил стануваат конфигурациска датотека плус сертификати што сами ги дистрибуирате. Дозволите по корисник стануваат директиви во client-config-dir. Административниот интерфејс станува кој било процес што ќе го изберете за издавање сертификати и уредување датотеки.

Запишете го тоа мапирање пред да допрете сервер. Секој ред што не можете да го пополните е функција што само што ја губите, а тивкото губење е начинот на кој миграцијата станува прекин две недели подоцна.

Идентитетот не се пренесува со датотеките сертификати

Сертификатите од стариот орган може правилно да се парсираат во новата услуга и сепак да бидат погрешен идентитет, бидејќи стариот производ ги спарувал со состојба на сметка што новата не ја гледа. Прво одлучете дали новото распоредување автентицира само со сертификат, со приклучок што стигнува до PAM или RADIUS, или со комбинација, потоа проверете дали секоја опција ги задржува потребните својства. Споделен сертификат без идентитет по корисник е едно уверение за сите што го имаат. Отповикувањето мора да работи од првиот ден, што во Community OpenVPN значи CRL датотека на која упатува crl-verify плус процес што ја генерира повторно.

Планирајте го запишувањето пред преминот, не по него. Нови сертификати, тестирана патека за отповикување и документиран начин да исклучите една личност се предуслови, не последователна работа. Ако повеќефакторската автентикација дојде од интеграцијата на стариот производ, именувајте ја замената експлицитно, бидејќи приклучок што не е инсталиран паѓа затворено во најлошиот момент.

Рутирањето и разрешувањето имиња го следат оној што ја пишува конфигурацијата

Рутите, DNS-поставките и однесувањето на целосен тунел се турнати опции во двата производи, но само еден ги пресметува за вас. Во Community OpenVPN сами ги пишувате push-директивите, одлучувате дали redirect-gateway и припаѓа на серверот или на клиентот и потврдувате дека на домаќинот постојат проследување и NAT. Завршено ракување не ви кажува ништо за проследувањето, преводот на адреси или рутите што клиентот навистина ги добил.

Однесувањето по клиент бара client-config-dir плус датотека именувана по common name на сертификатот на клиентот, а пар од локација до локација бара iroute записи за префиксите зад него. Ако името е погрешно, опциите се игнорираат без грешка. Тестирајте со еден клиент што не е продукциски во неговиот сопствен базен адреси, потоа прочитајте ја доделената адреса, добиените рути и поставките на резолверот со кои завршил.

Редоследете го преминот така што старата услуга може да се врати

Стартувајте го новиот слушател на друг порт или адреса и оставете го стариот да служи сообраќај додека ја докажувате замената. Два демони на еден сокет не се план за враќање.

Преместувајте една група истовремено, со нејзините сертификати, нејзиниот базен и нејзините рути, и вежбајте ја патеката за враќање наместо да ја откривате за време на инцидент. Враќање што функционира само ако прво се запре новата услуга е сè уште враќање, но мора да се тестира кога ништо не гори.

На крајот наведете ги функциите без директен еквивалент и одлучете ја судбината на секоја писмено: преземање профил со самоуслуга, знаменца за дозвола по корисник, самиот административен интерфејс, известување за врски во живо. Замената со документиран рачен процес е легитимен одговор. Оставањето на редот празен не е.

Работата е завршена кога корисник што никогаш не го видел стариот портал може да се запише, да се поврзе, да стигне до предвидената внатрешна адреса и чисто да биде отповикан. Сè пред тоа е подготовка.