Access Server-ээс Community OpenVPN руу: юуг дахин барих ёстой вэ

Access Server болон Community OpenVPN нэг протоколоор ярьдаг бөгөөд бусад бараг бүх зүйлээрээ ижил биш. Гар барилт, шифрийн хэлэлцээр, туннелийн өгөгдлийн хавтгай нь нийцтэй тул клиент профайлаа засахгүйгээр хоёуланд нь холбогдож чаддаг. Ялгаа нь тохиргоог хэн эзэмшихэд байна: нэг бүтээгдэхүүн бодлогыг бичиж, хэрэгжүүлдэг удирдлагын давхарга авчирдаг бол нөгөө нь танд тохиргооны файл, зарим дэгээ өгөөд та өөрөө шийднэ гэж хүлээдэг.

Тэр ялгаа нь шилжүүлэх төлөвлөгөө мөн. Хуучин бүтээгдэхүүн таны өмнөөс шийдсэн бүхэн шинэ байршуулалтын хаа нэгтээ тодорхой шийдвэр болох ёстой.

Хоёр байршуулалт харилцан солилцох боломжгүй болох цэг

Access Server-т вэб админ интерфейс хэрэглэгч, бүлэг, хэрэглэгч тус бүрийн эрх, гэрчилгээ олголт, хүн татаж авдаг профайлын багцыг эзэмшдэг. Доорх демоныг тэр давхарга тохируулдаг тул ажиллаж буй үйлчилгээ нь гараар ховор засдаг хадгалсан төлөвийн үр дүн юм. Community OpenVPN-д тохиргооны файл нь өөрөө төлөв: сонсогч, гэрчилгээний эрх бүхий байгууллага, баталгаажуулалтын дэгээ, түлхэгдсэн бүх сонголтыг нэрлэдэг бөгөөд юу ч таны өмнөөс дахин бичихгүй. Тиймээс ижил TLS машин хоёр тэс өөр эзэмшлийн загварын дор зогсож байна.

Богино зураглал зөрүүг бодит болгоно. Хэрэглэгч, бүлгүүд дахин үүсгэх хүртэл зөвхөн хуучин санд байна. Профайлын багцууд нь тохиргооны файл болон та өөрөө тараах гэрчилгээ болно. Хэрэглэгч тус бүрийн эрх client-config-dir доторх заавар болно. Админ интерфейс нь гэрчилгээ олгож, файл засахад таны сонгосон процесс болно.

Серверт хүрэхээс өмнө тэр зураглалыг бичиж аваарай. Бөглөж чадахгүй мөр бүр таны одоо алдах гэж буй боломж бөгөөд дуугүй алдах нь шилжүүлгийг хоёр долоо хоногийн дараа тасалдал болгох зам юм.

Таних нь гэрчилгээний файлуудтай хамт шилждэггүй

Хуучин эрх бүхий байгууллагын гэрчилгээг шинэ үйлчилгээнд зөв задлан уншиж болох ч буруу таних хэвээр байж болно, учир нь хуучин бүтээгдэхүүн тэдгээрийг шинэ нь харж чадахгүй бүртгэлийн төлөвтэй хослуулсан. Эхлээд шинэ байршуулалт зөвхөн гэрчилгээгээр, PAM эсвэл RADIUS-т хүрдэг залгаасаар, эсвэл хослолоор баталгаажуулах эсэхийг шийдэж, дараа нь сонголт бүр шаардлагатай шинж чанарыг хадгалж буйг шалга. Хэрэглэгч тус бүрийн танихгүй хуваалцсан гэрчилгээ нь түүнийг эзэмшигч бүхэнд нэг итгэмжлэл юм. Цуцлалт ч эхний өдрөөс ажиллах ёстой бөгөөд Community OpenVPN-д энэ нь crl-verify-ийн заасан CRL файл ба түүнийг дахин үүсгэдэг процесс гэсэн үг.

Бүртгэлийг шилжилтийн өмнө төлөвлө, дараа нь биш. Шинэ гэрчилгээ, туршсан цуцлалтын зам, нэг хүнийг идэвхгүй болгох бичигдсэн арга нь урьдчилсан нөхцөл бөгөөд дараагийн ажил биш. Хэрэв олон хүчин зүйлийн баталгаажуулалт хуучин бүтээгдэхүүний интеграцаас ирсэн бол орлуулагчийг тодорхой нэрлэ, учир нь суулгаагүй залгаас хамгийн муу мөчид хаалттайгаар бүтэлгүйтдэг.

Маршрутлалт ба нэрийн шийдэл тохиргоо бичигчийг дагана

Маршрут, DNS тохиргоо, бүрэн туннелийн зан төлөв хоёр бүтээгдэхүүнд түлхэгдсэн сонголт боловч зөвхөн нэг нь таны өмнөөс тооцдог. Community OpenVPN-д та push зааврыг өөрөө бичиж, redirect-gateway серверт эсвэл клиентэд хамаарахыг шийдэж, хост дээр дамжуулалт ба NAT байгааг батална. Дууссан гар барилт дамжуулалт, хаягийн хөрвүүлэлт эсвэл клиент бодитоор авсан маршрутын талаар юу ч хэлэхгүй.

Клиент тус бүрийн зан төлөвт client-config-dir ба клиентийн гэрчилгээний common name-ээр нэрлэсэн файл хэрэгтэй, сайт хоорондын хосын хувьд ард байгаа префиксүүдэд iroute бичлэг хэрэгтэй. Нэр буруу бол сонголтууд алдаагүйгээр үл тоомсорлогдоно. Үйлдвэрлэлийн бус нэг клиентээр өөрийн хаягийн санд туршаад, түүнд олгосон хаяг, авсан маршрут, эцэст нь ашигласан resolver тохиргоог уншаарай.

Хуучин үйлчилгээ буцаж чадахаар шилжилтийг цэгцэл

Шинэ сонсогчийг өөр порт эсвэл хаяг дээр ажиллуулж, орлуулагчийг баталж байх хугацаанд хуучин нь урсгалд үйлчилж байг. Нэг сокет дээр хоёр демон буцаах төлөвлөгөө биш.

Нэг бүлгийг нэг удаад, өөрийн гэрчилгээ, сан, маршрутын хамт зөөж, буцах замыг ослын үеэр олж мэдохын оронд урьдчилан давт. Шинэ үйлчилгээг эхлээд зогсоовол л ажилладаг буцаалт ч буцаалт мөн, гэхдээ юу ч шатаагүй үед турших ёстой.

Эцэст нь шууд дүйцэлгүй боломжуудыг жагсааж, тус бүрийн хувь заяаг бичгээр шийд: өөртөө үйлчлэх профайл татац, хэрэглэгч тус бүрийн эрхийн туг, админ интерфейс өөрөө, амьд холболтын тайлан. Тэдгээрийг бичигдсэн гарын процессоор орлуулах нь хууль ёсны хариулт. Мөрийг хоосон орхих нь тийм биш.

Хуучин порталыг хэзээ ч хараагүй хэрэглэгч бүртгүүлж, холбогдож, зорьсон дотоод хаягт хүрч, цэвэрхэн цуцлагдаж чадвал ажил дууссан. Түүнээс өмнөх бүхэн бэлтгэл юм.