Хост алдалгүйгээр OpenVPN-ийн засвар үйлчилгээний цонхыг төлөвлөх

VPN үйлчилгээг дахин эхлүүлэхэд түүнийг ашиглаж буй бүх сесс дуусна, тиймээс цонхыг багц менежерийн эргэн тойронд биш, харин ярианы эргэн тойронд барих ёстой. Хэрэглэгчдэд мэдрэмтгий ажлаа дуусгахад хангалттай урьдчилан мэдэгдэл хэрэгтэй, танд зогсоох гэж буй туннелээс хамааралгүй буцах зам хэрэгтэй. Гарын авлагын бусад бүх зүйл энэ хоёр баримтыг удирдахад хялбар болгохын тулд байдаг. Аль нэгийг нь алгасвал энгийн шинэчлэлт гарах гарцгүй тасалдал болно.

Доорх дараалал санаатай: үе шат бүр дараагийн шатанд хэрэгтэй зүйлийг бий болгодог бөгөөд аль ч үе шат өөрчлөлтийг эхлэхээс өмнө дуусгаж болно.

Өөрчлөхөөс өмнө байгаа үйлчилгээг бүртгэ

Санаж байгаа юнитээ бус, суулгасан юнитыг унш: systemctl cat [email protected] юнит болон бүх drop-in-г хэвлэдэг, systemctl show [email protected] -p ExecStart -p User -p WorkingDirectory юу, хэний нэрээр ажиллаж байгааг харуулна. Тэр юнит заасан бинараас асуу, учир нь бүрхүүлээс openvpn --version өөр бүтэц рүү шийдэгдэж болно. Профайлын зам болон түүний дурдсан бүх файлыг бүртгэ.

Сонсох сокетуудад ч анхаар: ss -lunp | grep 1194 өнөөдөр демон аль хаяг, протоколтойг хэлнэ. Хариулт профайлын санал болгож буйгаас өөр бол drop-in эсвэл орчны файл түүнийг дарж байна, шинэчлэлт тэр гэнэтийн зүйлийг өвлөнө.

Өөр хүн ашиглаж болох сэргээх багц бэлдэ

Сэргээх багц нь 03:00 цагт таны нөхцөл байдалгүйгээр хамт олонд ашиглагдахуйц байх ёстой. Үр дүнтэй тохиргоог дурдсан бүх файлын хамт, PKI эзэмшигчийн хяналтад байгаа итгэлцэл, хүчингүй болгох материалыг, клиент тус бүрийн хуваарилалт болон hook-уудыг, өнөөдөр суулгасан багцын яг хувилбаруудыг оруул. Нэг файлын нэрний хуулбар нь тохиргоо биш. Үүнийг жижүүр оператор VPN-гүйгээр хүрч чадах газарт хадгал.

Хандалтын хяналт тэр багцад ч хамаарна, учир нь түүнд хувийн түлхүүр эсвэл backend-ийн нэвтрэх мэдээлэл агуулагдана. Зөвхөн багцын хувилбар өөрчлөгдсөн гэж CA-г дахин барих, таних тэмдэг дахин олгох хэрэггүй.

Бодит клиенттэй туршилтын сонсогч дээр бэлтгэл хий

Нэр дэвшигч хувилбарыг нэг сокет дээрх үйлдвэрлэлийн хувилбарын дэргэд бус, өөрийн порт, хаягийн төлөвлөгөөтэй тусдаа сонсогч дээр ажиллуул. Хэрэглэгчид тань бодитоор ашигладаг клиент хөдөлгүүрүүдээр холбогд, хэцүүг нь ч оролцуул. Хаягийн хуваарилалт, түлхэгдсэн DNS, чухал нэг аппликейшн, блоклогдсон хэвээр байх ёстой нэг замыг шалга. Захиалгат hook-ууд үйлчилгээний бодит эрх мэдэл, файлын системийн нөхцөлд ажиллах ёстой, учир нь root бүрхүүл тэдний талаар юу ч батлахгүй.

Гаргасан тэмдэглэлийг зөвхөн шинэ боломжуудын төлөө бус, зан үйлийн өөрчлөлтийн төлөө унш. Шифрлэлт ба TLS-ийн анхдагч утгууд хувилбаруудын хооронд шилждэг, бөгөөд одоо ч задлагдаж буй профайл гар барилтад бүтэлгүйтэж болно. Хэрэв шинэчлэлт профайл эсвэл гэрчилгээний өөрчлөлт шаардвал үүнийг багцын шинэчлэлтэд хийхгүйгээр тусдаа алхам болго.

Туннелийн гаднах замаас нэг л удаа шилж

Цонхыг үйлчилгээгээр дамждаггүй консол эсвэл удирдлагын сүлжээнээс эхэл. Хэрэглэгчдэд мэдэгдсэн, хоёр дахь оператор буцаахыг мэддэг эсэхийг батал. Бэлтгэсэн өөрчлөлтийг эзэмшигчээр нь хэрэгжүүл, дараа нь sudo systemctl restart [email protected]-ээр дахин эхлүүлж, journalctl -u openvpn-server@office -b -f-ээр журналыг дага. Зөвхөн юнитын тодорхойлолт өөрчлөгдсөн бол дахин ачаалах хангалттай; өөрчлөгдсөн профайл процессын дахин эхлэлтийг шаардана.

Клиент бүр дахин холбогдоно, зарим аппликейшн сесс үргэлжлэхгүй гэж бод. Үүнийг тэвчиж чадахгүй ажлын ачаалалтай цэвэр завсарлагыг зохицуул.

Хүлээж ав эсвэл буцаа, дараа нь хэрэглэгчдэд юу өөрчлөгдсөнийг хэл

Хүлээн авалт гэдэг нь шинэ нэвтрэлт, бодит үйлдэл, одоо ч хүчинтэй хязгаарлалтууд юм. Идэвхтэй юнит, ногоон төлөвийн мөр нь процессын баримт. Хэрэв шалгуур цонхны дотор биелэхгүй бол бэлтгэсэн аргаар буцаа, нэг файлыг сэргээж найдах замаар бус; өөрчлөгдсөн бинар эсвэл үйлчилгээний бодлого тохиргооны сэргээлтийг даван туулна. Цонхны үеэр хийсэн аливаа хүчингүй болголт эсвэл зөвшөөрлийн өөрчлөлтийг хадгал, ингэснээр буцаалт аюулгүй байдлын ажлыг цуцлахгүй.

Хувилбарууд, профайлын өөрчлөлтүүд, хүлээн авалтын үр дүнг дараагийн операторт бүртгэ, туршилтын сонсогчийг ашиглалтаас гарга, хэрэглэгчдэд одоо аль профайлыг ашиглахыг хэл. Энэ тэмдэглэлгүйгээр дуусах цонх дараагийн шинэчлэлтэд дахин хэлэлцэгдэнэ.