Рута на уред OpenVPN: сопственик на конфигурацијата или скрипта за стартување?
Филијална рута што преживува едно рестартирање сепак може да исчезне по зачувување од GUI или ажурирање на фирмверот. Споредете го поддржаниот сопственик на конфигурацијата со скрипта за лепенки.
Додавате филијална рута, таа работи, а потоа ажурирање на фирмверот или зачувување од веб-интерфејсот ја отстранува. Две поправки во тој момент изгледаат еднакво разумни: да ја ставите рутата во поддржаниот извор на конфигурација на уредот, или да ја додадете во генерираната датотека од скрипта за стартување. Тие една недела се однесуваат исто и се разделуваат при второто надградување. Оваа статија споредува што всушност поседува секоја од нив.
Двата кандидати поседуваат различни работи
Поддржаниот извор на конфигурација е сето она што уредот го третира како влез: поле во GUI, увезен профил, документирана папка за секој клиент, база на поставки што ја чита пакетот за управување. Генерираната server.conf е излез. Уредувањето на излез работи додека генераторот не се изврши повторно, а тоа се случува при зачувување, при рестартирање и при надградување.
Пристапот со скрипта ја лепи таа излезна датотека откако генераторот ќе заврши. Тоа е легитимна техника за лабораторија, и е погрешна стандардна поставка за филијална канцеларија, бидејќи ја прави рутата зависна од совпаѓање на текст наместо од документирано поле.
| Question | Supported config source | Post-generation script |
|---|---|---|
| Survives a GUI save | Yes | Only if the save does not regenerate the file |
| Survives a package upgrade | Usually, when the field is documented | No guarantee; the wrapper can be replaced |
| Supportable by the vendor | Yes | No |
| Obvious to the next admin | Yes, it is in the UI | No, it lives in a wrapper |
Што регенерира уредот, и кога
Пакетите за управување обично чуваат поставки во база на податоци или во збир од шаблони и ја генерираат конфигурацијата на демонот при стартување. Зачувувањето од веб-интерфејсот често ја препишува целата датотека наместо да лепи една линија. Ако вашата промена живеела во таа датотека, сега ја нема, и ништо не запишува предупредување, бидејќи од гледна точка на уредот ништо не е изгубено.
Завиткувањата за стартување имаат втор режим на отказ. grep за директива со одредено растојание престанува да се совпаѓа по промена на шаблонот, и скриптата тивко не прави ништо. Уште полошо, ажурирањето на фирмверот може да го замени завиткувањето со нова верзија, земајќи ја лепенката со себе. Тогаш имате рута што постоела една година и исчезнала за време на одржување што никој не го поврзал со рутирање.
Што треба да изрази поддржаниот сопственик
Филијалниот префикс бара три изјави, не една. Клиентот мора да ја научи рутата, серверот мора да знае кој автентификуван клиент го поседува префиксот, а филијалната страна мора да го врати сообраќајот на адресата на тунелот што ѝ е дадена. Во термини на OpenVPN тоа значи испратен route, соодветен iroute врзан за клиентот, и повратен пат од другата страна.
Тука интерфејсите на уредите доведуваат во заблуда. Поле за избор означено „дозволи им на клиентите пристап до LAN на серверот“ опишува сообраќај кон сопствената мрежа на серверот. Вашата филијала е спротивна насока: мрежа зад еден клиент, достапна од серверската страна. Истата ознака не подразбира поддршка за тоа, и важечка директива во датотека не е ветување дека пакетот ќе ја зачува.
Кога не постои поддржана контрола
Понекогаш инсталираното издание навистина не може да изрази рута специфична за партнер. Тогаш чесните опции се друг портал што вие го контролирате, или поддржан режим од локација до локација на двата краја. Двата краја мора да го зборуваат. Страница на производ што вели од локација до локација не прави произволен OpenVPN профил заменлив со тунелот на друг протокол, и наметнувањето на тој пар обично создава половично поврзан тунел што изгледа добро на страница со статус.
Изберете ја опцијата што можете да ја опишете во една реченица на тој што ќе ја наследи мрежата. Ако одговорот бара да се спомене патека до скрипта и текстуален шаблон, дизајнот е веќе кревок.
Направете ја намерата проверлива
Запишете го договорот надвор од уредот: ефективен идентитет на клиентот, префикс, повратен портал и поддржаното поле што го обезбедува секое од нив. Извези ја конфигурацијата преку поддржаниот механизам за повторната изградба да има референца, и проверете ја услугата по повторно поврзување, рестартирање и надградување, а не само по промената.
Кога нешто ќе се скрши, споредете го генерираниот резултат со тој запис, наместо да враќате необјаснета линија и да се надевате.референцата за OpenVPN 2.6 е местото каде да потврдите како route и iroute комуницираат пред да се расправате со интерфејс.
Контролна листа за следната промена: именувајте го сопственикот, наведете го триделниот договор, извези ја намерата, и повторно тестирајте по сопствените настани од животниот циклус на уредот, а не по вашето уредување.