Minn Access Server għal Community OpenVPN: x’għandu jerġa’ jinbena

Access Server u Community OpenVPN jitkellmu l-istess protokoll u kważi xejn ieħor bl-istess mod. Il-handshake, in-negozjar taċ-ċifri u l-pjan tad-data tal-mina huma kompatibbli, għalhekk klijent ħafna drabi jista’ jikkonnettja ma’ wieħed minnhom mingħajr ma jeditja l-profil tiegħu. Id-differenza hija min jippossjedi l-konfigurazzjoni: prodott wieħed iwassal saff ta’ ġestjoni li jikteb u jinfurza l-politika, l-ieħor jagħtik fajl ta’ konfigurazzjoni u sett ta’ snieket u jistenna li tiddeċiedi int.

Dik id-differenza hija l-pjan tal-migrazzjoni. Kull ma ddeċieda l-prodott l-antik f’ ismek irid isir deċiżjoni espliċita x’ imkien fl-iskjerament il-ġdid.

Fejn iż-żewġ skjeramenti ma jibqgħux jistgħu jinbidlu

Fl-Access Server, l-interfaċċa tal-amministrazzjoni tal-web tippossjedi l-utenti, il-gruppi, il-permessi għal kull utent, il-ħruġ taċ-ċertifikati u l-pakkett tal-profil li persuna tniżżel. Id-daemon taħtha huwa kkonfigurat minn dak is-saff, għalhekk is-servizz li qed jaħdem huwa l-prodott ta’ stat maħżun li rari tedita bl-idejn. Fil-Community OpenVPN, il-fajl tal-konfigurazzjoni huwa l-istat: isemmi l-listeners, l-awtorità taċ-ċertifikati, is-snienek tal-awtentikazzjoni u kull għażla mbuttata, u xejn ma jerġa’ jiktibha għalik. L-istess makkinarju TLS għalhekk jinsab taħt żewġ mudelli ta’ propjetà differenti ħafna.

Mappa qasira tagħmel id-distakk konkret. L-utenti u l-gruppi jeżistu biss fid-database l-antika sakemm terġa’ toħloqhom. Il-pakketti tal-profil isiru fajl ta’ konfigurazzjoni flimkien maċ-ċertifikati li tqassam int stess. Il-permessi għal kull utent isiru direttivi fi client-config-dir. L-interfaċċa tal-amministrazzjoni ssir il-proċess li tagħżel biex toħroġ ċertifikati u tedita fajls.

Ikteb dik il-mappa qabel ma tmiss server. Kull ringiela li ma tistax timla hija karatteristika li wasalt biex titlef, u t-telfa siekta hija l-mod kif migrazzjoni ssir waqfa ġimagħtejn wara.

L-identità ma tgħaddix mal-fajls taċ-ċertifikati

Iċ-ċertifikati mill-awtorità l-antika jistgħu jiġuħallati sew fis-servizz il-ġdid u xorta jkunu l-identità żbaljata, għax il-prodott l-antik kien jgħaqqadhom ma’ stat tal-kont li l-ġdid ma jarax. Iddeċiedi l-ewwel jekk l-iskjerament il-ġdid jawtentikax biċ-ċertifikat biss, b’ plugin li jasal għal PAM jew RADIUS, jew b’ taħlita, imbagħad iċċekkja li kull għażla żżomm il-proprjetajiet li għandek bżonn. Ċertifikat maqsum mingħajr identità għal kull utent huwa kredenzjali waħda għal kulħadd li għandu. It-treħħija trid taħdem mill-ewwel jum ukoll, li fil-Community OpenVPN ifisser fajl CRL li crl-verify jirreferi għalih flimkien ma’ proċess li jiġġenerah mill-ġdid.

Ippjana r-reġistrazzjoni qabel il-bidla, mhux wara. Ċertifikati ġodda, triq tat-treħħija ttestjata u mod dokumentat biex tiddiżattiva persuna waħda huma kundizzjonijiet minn qabel, mhux xogħol ta’ wara. Jekk l-awtentikazzjoni multifatturali ġiet mill-integrazzjoni tal-prodott l-antik, semmi s-sostitut b’ mod espliċitu, għax plugin li mhux installat ifalli magħluq fl-agħar mument.

Ir-rotta u r-riżoluzzjoni tal-ismijiet isegwu min jikteb il-konfigurazzjoni

Ir-rotot, is-settings tad-DNS u l-imġiba tal-mina sħiħa huma għażliet imbuttati fiż-żewġ prodotti, imma wieħed biss jikkalkulahom għalik. Fil-Community OpenVPN tikteb id-direttivi push int stess, tiddeċiedi jekk redirect-gateway huwiex tas-server jew tal-klijent, u tikkonferma li l-ibbordjar u n-NAT jeżistu fuq il-host. Handshake lest ma jgħidlek xejn dwar l-ibbordjar, it-traduzzjoni tal-indirizzi jew ir-rotot li l-klijent fil-fatt irċieva.

L-imġiba għal kull klijent teħtieġ client-config-dir flimkien ma’ fajl imsemmi għall-common name taċ-ċertifikat tal-klijent, u par minn sit għal sit jeħtieġ dħuliet iroute għall-prefissi warajh. Jekk l-isem huwa żbaljat, l-għażliet jiġu injorati mingħajr żball. Ittestja b’ klijent wieħed mhux tal-produzzjoni fil-pool tal-indirizzi tiegħu, imbagħad aqra l-indirizz li ngħata, ir-rotot li rċieva u s-settings tar-resolver li spiċċa bihom.

Agħmel il-bidla f’ ordni biex is-servizz l-antik ikun jista’ jerġa’ lura

Ħaddem il-listeners il-ġdid fuq port jew indirizz differenti, u ħalli dak l-antik iservi t-traffiku waqt li tipprova s-sostitut. Żewġ daemons fuq socket wieħed mhumiex pjan ta’ rkupru.

Mexxi grupp wieħed kull darba, biċ-ċertifikati, il-pool u r-rotot tiegħu stess, u pprattika t-triq lura minflok ma tiskopriha waqt inċident. Rkupru li jaħdem biss jekk is-servizz il-ġdid jitwaqqaf l-ewwel xorta huwa rkupru, imma jrid jiġi ttestjat meta xejn mhu jaqbad.

Fl-aħħar, elenka l-karatteristiċi mingħajr ekwivalenti dirett u iddeċiedi x-xorti ta’ kull waħda bil-miktub: tniżżil tal-profil awto-servizz, bandieri tal-permess għal kull utent, l-interfaċċa amministrattiva nnifisha, rappurtar tal-konnessjonijiet ħajjin. Li tissostitwihom b’ proċess manwali dokumentat hija tweġiba leġittima. Li tħalli r-ringiela vojta mhux.

Ix-xogħol jitlesta meta utent li qatt ma ra l-portal l-antik jista’ jirreġistra, jikkonnettja, jasal għall-indirizz intern maħsub u jiġi rrevokat b’ mod nadif. Kollox qabel dak huwa tħejjija.