OpenVPN Access Server: рестартирајте го демонот или применете го поставувањето

Две команди се вметнуваат за она што изгледа како иста работа на OpenVPN Access Server, а тие прават различни работи. systemctl restart openvpnas го запира и го стартува целиот производ. sacli start ги крева внатрешните служби што ја читаат конфигурацијата што штотуку ја сменивте. Изборот меѓу нив не е прашање на вкус: зависи од тоа што вели документацијата на самото поставување, дали вашата сесија поминува низ серверот што ќе го рестартирате и дали воопшто гледате во правилниот производ.

Два слоја, еден демон

Access Server работи како една systemd единица, openvpnas, и тој демон ги надгледува внатрешните служби зад веб-интерфејсот и VPN слушателите. sacli е интерфејсот на командната линија кон истата инсталација, на /usr/local/openvpn_as/scripts/sacli, и може да ги стартува, запира и прашува тие внатрешни компоненти без да ја замени единицата.

Затоа постојат двете команди. Рестартирањето на демонот извршува сè одново, вклучително процесот што ги прекинува клиентските тунели. sacli start бара од веќе работниот демон да ги крене своите компоненти за да ја прочитаат новата конфигурација, и тоа е она што повеќето промени на својства навистина го бараат.

Услов прв: што вели документацијата на поставувањето

Читајте ја страницата на поставувањето што сте го смениле, а не на тоа што сте го смениле минатиот месец. По својство запишано преку ConfigPut обично следи sacli start, и тој пар е документираниот чекор на примена. Промена на однесувањето на ниво на слушател, или што и да е што страницата го опишува како барање рестарт на службата, е класата во која рестартот на единицата е правилен.

Двете команди не се заменливи, па затоа начинот на грешење при погодување е асиметричен. Користењето sacli start кога бил потребен целосен рестарт остава стар процес кој сè уште служи на претходната конфигурација, што изгледа како поставувањето да е игнорирано. Целосен рестарт кога sacli start би бил доволен ги исфрла сите поврзани клиенти без причина.

Услов втор: дали вашата сесија е внатре во тунелот

Ако го администрирате Access Server преку VPN-от што го дава, рестартот ја отстранува врската што го носи вашиот shell. Командата може да заврши откако вашата сесија ќе умре, па мора да погодувате дали работела. Од истата причина sacli start исто така може накратко да ја прекине сесијата кога компонентата што се рестартира го обработува вашиот сообраќај.

Држете отворен вонпојасен пат пред која било команда: конзола на давателот, конзола на хипервизорот или сериска сесија. Овој услов одлучува кога ја извршувате командата, а не која команда, и тој е оној што промена од две минути ја претвора во извештај за прекин.

Услов трет: дали е тоа производот што го мислите

Access Server не е Community OpenVPN. Заедничката инсталација работи единици како openvpn@server или openvpn-client@profile, со конфигурација во /etc/openvpn, и sacli таму не постои. Рестартирањето на секоја единица со openvpn во името на заеднички домаќин е начинот на кој неповрзани тунели паѓаат заедно.

Утврдете пред да допрете нешто: systemctl status openvpnas --no-pager одговара дали Access Server е она што работи, sacli status ги наведува неговите внатрешни компоненти, а systemctl list-units --type=service ги наведува единиците чии имиња содржат openvpn. Ако последната команда покажува единици со имиња на профили, вие сте на заедничкиот производ и остатокот од ова не се однесува на вас.

Применете, па проверете подалеку од active

Единицата што известува active има процес што работи, што не е исто како работен пат за автентикација. По чекорот на примена, проверете sacli status за компонентите што очекувавте да се рестартираат, потврдете дека вредноста е зачувана преку sacli ConfigQuery, и потоа извршете едно ограничено најавување на клиент со тест сметка.

Завршете со нешто на ниво на апликација: стигнете до приватен ресурс низ тунелот, не само ping до јавната адреса на серверот. Ракувањето што успева додека рутата или поставувањето на DNS се погрешни ќе ја помине секоја проверка на службата и сепак ќе го разочара човекот што го пријавил проблемот.

упатството на давателот за управување со служби е референцата за тоа кои операции и припаѓаат на sacli, и вреди да се отвори пред да одлучите дека рестартот е безбедната опција.

Одлуката во еден премин

Поминете низ овие четири реда и застанете на првиот што се совпаѓа:

• Страницата на поставувањето го наведува sacli start, или штотуку сте извршиле ConfigPut: користете sacli start.
• Страницата бара рестарт, или промената ги допира слушателите а не својствата: користете systemctl restart openvpnas.
• Вашиот shell доаѓа преку овој сервер: прво обезбедете пристап до конзола, па извршете ја командата што ја избраа двата реда погоре.
• Проверка: sacli status, ConfigQuery за вредноста, една најава, еден приватен ресурс. Само состојбата на службата не е целната линија.

Два од тие редови се проверки, а два се дејства, и тоа е поентата на редоследот. Ако не можете да одговорите на прашањето за производот, застанете: командата што требавте да ја извршите припаѓа на друга инсталација, а тунелот што ќе го урнете нема да биде оној што го мислевте.