Dari Access Server ke Community OpenVPN: apa yang perlu dibina semula

Access Server dan Community OpenVPN bertutur dalam protokol yang sama dan hampir tiada perkara lain dengan cara yang sama. Handshake, rundingan sifer dan satah data terowong adalah serasi, jadi klien selalunya boleh bersambung ke mana-mana satu tanpa menyunting profilnya. Bezanya ialah siapa memiliki konfigurasi: satu produk membawa lapisan pengurusan yang menulis dan menguatkuasakan dasar, yang lain memberi anda fail konfigurasi dan satu set cangkuk lalu mengharapkan anda membuat keputusan.

Perbezaan itulah pelan migrasi. Apa sahaja yang diputuskan produk lama bagi pihak anda mesti menjadi keputusan eksplisit di suatu tempat dalam penggunaan baharu.

Di mana kedua-dua penggunaan berhenti boleh ditukar ganti

Dalam Access Server, antara muka pentadbiran web memiliki pengguna, kumpulan, kebenaran setiap pengguna, pengeluaran sijil dan berkas profil yang dimuat turun seseorang. Daemon di bawahnya dikonfigurasikan oleh lapisan itu, jadi perkhidmatan yang berjalan ialah hasil keadaan tersimpan yang jarang anda sunting dengan tangan. Dalam Community OpenVPN, fail konfigurasi itulah keadaannya: ia menamakan pendengar, pihak berkuasa sijil, cangkuk pengesahan dan setiap pilihan yang ditolak, dan tiada apa menulis semula untuk anda. Mesin TLS yang sama itu duduk di bawah dua model pemilikan yang sangat berbeza.

Pemetaan pendek menjadikan jurang itu konkrit. Pengguna dan kumpulan hanya wujud dalam pangkalan data lama sehingga anda menciptanya semula. Berkas profil menjadi fail konfigurasi serta sijil yang anda edarkan sendiri. Kebenaran setiap pengguna menjadi arahan dalam client-config-dir. Antara muka pentadbiran menjadi proses yang anda pilih untuk mengeluarkan sijil dan menyunting fail.

Tulis pemetaan itu sebelum menyentuh pelayan. Setiap baris yang tidak dapat anda isi ialah ciri yang anda akan lepaskan, dan melepaskannya secara senyap ialah cara migrasi menjadi gangguan dua minggu kemudian.

Identiti tidak berpindah bersama fail sijil

Sijil daripada pihak berkuasa lama mungkin dihuraikan dengan betul dalam perkhidmatan baharu dan masih menjadi identiti yang salah, kerana produk lama memasangkannya dengan keadaan akaun yang tidak dapat dilihat oleh yang baharu. Putuskan dahulu sama ada penggunaan baharu mengesahkan dengan sijil sahaja, dengan pemalam yang mencapai PAM atau RADIUS, atau dengan gabungan, kemudian periksa setiap pilihan mengekalkan sifat yang anda perlukan. Sijil dikongsi tanpa identiti setiap pengguna ialah satu kelayakan untuk semua yang memilikinya. Pembatalan juga mesti berfungsi dari hari pertama, yang dalam Community OpenVPN bermaksud fail CRL yang dirujuk crl-verify serta proses yang menjananya semula.

Rancang pendaftaran sebelum peralihan, bukan selepasnya. Sijil baharu, laluan pembatalan yang diuji dan cara terdokumen untuk melumpuhkan seseorang ialah prasyarat, bukan kerja susulan. Jika pengesahan berbilang faktor datang daripada integrasi produk lama, namakan penggantinya secara eksplisit, kerana pemalam yang tidak dipasang gagal tertutup pada saat paling buruk.

Penghalaan dan penyelesaian nama mengikut penulis konfigurasi

Laluan, tetapan DNS dan tingkah laku terowong penuh ialah pilihan yang ditolak dalam kedua-dua produk, tetapi hanya satu yang mengiranya untuk anda. Dalam Community OpenVPN anda menulis arahan push sendiri, memutuskan sama ada redirect-gateway milik pelayan atau klien, dan mengesahkan penghantaran dan NAT wujud pada hos. Handshake yang selesai tidak memberitahu anda apa-apa tentang penghantaran, terjemahan alamat atau laluan yang benar-benar diterima klien.

Tingkah laku setiap klien memerlukan client-config-dir serta fail yang dinamakan sempena common name sijil klien, dan pasangan tapak ke tapak memerlukan entri iroute untuk awalan di belakangnya. Jika namanya salah, pilihan diabaikan tanpa ralat. Uji dengan satu klien bukan pengeluaran dalam kumpulan alamatnya sendiri, kemudian baca alamat yang diberikan, laluan yang diterima dan tetapan penyelesai yang digunakannya.

Susun peralihan supaya perkhidmatan lama boleh kembali

Jalankan pendengar baharu pada port atau alamat lain, dan biarkan yang lama melayani trafik sementara anda membuktikan penggantinya. Dua daemon pada satu soket bukan pelan pengunduran.

Pindahkan satu kumpulan pada satu masa, dengan sijil, kumpulan alamat dan laluannya sendiri, dan berlatih laluan kembali daripada menemuinya semasa insiden. Pengunduran yang hanya berfungsi jika perkhidmatan baharu dihentikan dahulu masih pengunduran, tetapi ia mesti diuji ketika tiada apa terbakar.

Akhir sekali, senaraikan ciri tanpa persamaan langsung dan putuskan nasib setiap satu secara bertulis: muat turun profil layan diri, bendera kebenaran setiap pengguna, antara muka pentadbiran itu sendiri, laporan sambungan langsung. Menggantikannya dengan proses manual terdokumen ialah jawapan yang sah. Membiarkan baris kosong bukan.

Kerja selesai apabila pengguna yang tidak pernah melihat portal lama boleh mendaftar, bersambung, mencapai alamat dalaman yang dimaksudkan dan dibatalkan dengan bersih. Segala-galanya sebelum itu ialah persediaan.