Планирање на прозорец за одржување на OpenVPN без губење на домаќинот

Рестартирањето на VPN услугата ја завршува секоја сесија што ја користи, затоа прозорецот мора да се гради околу разговорите, а не околу менаџерот на пакети. Корисниците требаат доволно најава за да завршат чувствителна работа, а вие требате пат назад што не зависи од тунелот што ќе го запрете. Сето друго во прирачникот постои за да ги направи тие два факти управливи. Прескокнете кој било од нив и редовното ажурирање станува прекин без излез.

Редоследот подолу е намерен: секоја фаза произведува нешто што следната фаза го бара, и секоја фаза може да ја заврши промената пред да почне.

Запишете ја услугата што постои пред да ја промените

Читајте ја инсталираната единица, а не онаа за која мислите дека сте ја напишале: systemctl cat [email protected] ја печати единицата и сите drop-in, а systemctl show [email protected] -p ExecStart -p User -p WorkingDirectory покажува што навистина работи и под чие име. Прашајте ја бинарната датотека што ја именува таа единица, бидејќи openvpn --version од школка може да се реши на друга изградба. Запишете ја патеката на профилот и секоја датотека на која се повикува.

Внимавајте и на слушачките сокети: ss -lunp | grep 1194 ви кажува кој адреса и протокол ги има демонот денес. Ако одговорот не е тоа што го навестува профилот, некој drop-in или датотека со околина го надјавува, и надградбата ќе го наследи тоа изненадување.

Соберете сет за обновување што друг би можел да го користи

Сетот за обновување мора да биде употреблив од колега во 03:00 без вашиот контекст. Вклучете ја ефективната конфигурација со секоја наведена датотека, материјалот за доверба и отповикување под контрола на сопственикот на PKI, доделувањата и hooks по клиент, и точните верзии на пакетите инсталирани денес. Копија од едно име на датотека не е конфигурација. Чувајте го таму каде што дежурниот оператор може да го достигне без VPN.

Контролите за пристап важат и за тој сет, бидејќи содржи приватни клучеви или backend акредитиви. Не ја преградувајте CA и не издавајте идентитети повторно само затоа што се смени верзија на пакет.

Вежбајте на пилотен слушач со вистински клиент

Стартувајте го кандидат-изданието на одделен слушач со свој план за порти и адреси, а не покрај продукциската инстанца на истиот сокет. Поврзете се со клиентските мотори што вашите корисници навистина ги користат, вклучително и непријатниот. Проверете доделување адреси, турнат DNS, една апликација што е важна и една патека што треба да остане блокирана. Прилагодените hooks мора да работат во вистинскиот контекст на привилегии и датотечен систем на услугата, бидејќи root школка не докажува ништо за нив.

Читајте ги белешките за изданието поради промени во однесувањето, не само поради нови функции. Стандардните вредности за шифрирање и TLS се менуваат меѓу верзиите, и профил што уште се парсира може сепак да не го помине ракувањето. Ако надградбата бара промени на профил или сертификат, планирајте го тоа како посебен чекор наместо да го спакувате во ажурирањето на пакетот.

Префрлете се еднаш, од патека надвор од тунелот

Започнете го прозорецот од конзола или управувачка мрежа што не поминува низ услугата. Потврдете дека корисниците се известени и дека втор оператор знае како да врати назад. Применете ја подготвената промена преку нејзиниот сопственик, потоа рестартирајте со sudo systemctl restart [email protected] и следете го журналот со journalctl -u openvpn-server@office -b -f. Вчитување е доволно кога се сменети само дефиниции на единицата; сменет профил бара рестартирање на процесот.

Очекувајте секој клиент повторно да се поврзе, и очекувајте некои апликациски сесии да не продолжат. Координирајте чиста пауза со оптоварувањата што не можат тоа да го поднесат.

Прифатете или вратете назад, потоа кажете им на корисниците што се сменило

Прифаќањето е нова најава плус вистинска операција плус ограничувањата што уште важат. Активна единица и зелена линија за статус се факти за процесот. Ако критериумите не поминат во прозорецот, вратете назад со подготвениот метод, а не со враќање на една датотека и надеж; сменет бинарен код или политика на услугата преживува враќање на конфигурацијата. Зачувајте ја секоја промена на отповикување или авторизација направена за време на прозорецот, за враќањето да не го поништи безбедносниот труд.

Запишете ги верзиите, промените на профилот и резултатите од прифаќањето за следниот оператор, повлечете го пилотниот слушач и кажете им на корисниците кој профил да го користат сега. Прозорец што завршува без таа белешка повторно се преиспитува при следната надградба.