Provvediment ta' klijent OpenVPN b'fażijiet li jieqfu fuq żball
Ħames fażijiet iżommu skript tal-provvediment milli jħalli installazzjoni nofsa: ivverifika l-inputs, ipprepara s-sett, ibdel b'mod atomiku, attiva sid wieħed, ippjana l-irtirar.
L-iskripts tal-provvediment li jirrappurtaw żball u jkomplu huma agħar mill-iskripts li qatt ma jaħdmu. Is-setup tal-klijent imiss ċwievet protetti, identità fil-gateway u servizz li forsi diġà qed iservi traffiku. Kull wieħed minn dawn jeħtieġ kundizzjoni ta' waqfien, u l-iskript irid ikun jaf liema fażi wasal meta waqaf.
Ittratta l-ħaġa kollha bħala transazzjoni waħda b'ħames punti ta' verifika, u ġġiegħel lil kull punt ta' verifika jirrifjuta li jkompli waħdu.
Sejjaħ l-inputs qabel ma tmiss is-sistema tal-fajls
Ibda b'kuntratt espliċitu: identità waħda, sors wieħed tal-profil, sid wieħed tas-servizz maħsub. Ivverifika li l-profil jeżisti, li ċ-ċertifikat u ċ-ċavetta li jirreferi għalihom jinqraw, u li d-direttorju fil-mira jappartjeni għall-pakkett mistenni. Triq li tissolva mhijiex prova li l-materjal warajha huwa komplut.
Irrifjuta varjabbli vojta kmieni. $DEVICE mhux stabbilit li jinfirex f'xejn ibiddel install -m 400 $KEY /etc/openvpn/client/ f'kopja mmirata lejn direttorju, u l-falliment jiġi aktar tard bħala servizz li ma jistax jaqra ċ-ċavetta tiegħu.
Iġbor is-sett tal-profil f'direttorju ta' preparazzjoni
L-ewwel ibni s-sett komplut f'post privat: profil, CA, ċertifikat tal-klijent, ċavetta u kull għajnuna li ssejjaħ il-profil. Ikkopja b'install -m 400 -o root -g root sabiex il-permessi jiġu stabbiliti waqt il-ħolqien u mhux wara. Imbagħad iċċekkja r-referenzi ġewwa l-profil, għax linja relattiva ca jew key tissolva mad-direttorju tax-xogħol tal-unità hekk kif jibda s-servizz. Xejn m'għandu jinkiteb fid-direttorju attiv sakemm is-sett kollu jivvalida.
Irreġistra marka tas-swaba' mhux sigrieta ta' dak li pproduċa dan it-tħaddim, pereżempju sha256sum office.conf maħżun ħdejn markatur tal-verżjoni. Dak il-valur wieħed huwa li jippermetti li tħaddim mill-ġdid jiddistingwi aġġornament minn xejn.
Ibdel b'mod atomiku u żomm is-sett preċedenti
Mexxi s-sett preparat f'postu b'operazzjoni waħda fejn is-sistema tal-fajls tippermetti, u żomm is-sett preċedenti rivedut taħt isem b'timbru tal-ħin. Kopja parzjali li tħalli profil ġdid ħdejn ċavetta qadima tipproduċi servizz li jawtentika bl-identità ħażina u ma jirreġistra xejn utli dwar ir-raġuni. Jekk il-bidla ma tistax tkun atomika, ordna l-movimenti sabiex il-profil jasal l-aħħar.
Meta l-mira diġà teżisti, iddeċiedi b'mod espliċitu jekk dan it-tħaddim huwiex aġġornament, tħaddim mill-ġdid identiku, jew kunflitt mal-profil ta' apparat ieħor. L-isskrivar bil-kwiet ta' profil li jappartjeni lil identità oħra huwa l-mod kif żewġ magni jispiċċaw jaqsmu ċertifikat wieħed. Minflok, irrifjuta t-tħaddim u semmi s-sid li qed jikkonfliġġi.
Attiva sid wieħed u ippruvah
Agħżel triq waħda ta' attivazzjoni, jew l-istanza systemd jew NetworkManager, u użaha b'mod konsistenti. It-tnedija ta' proċess openvpn mhux immaniġġjat ħdejn unità attivata tagħti żewġ tunnels, aġġornamenti DNS li jikkompetu u l-ebda tweġiba ċara dwar liema waħda tammira lejha kmand ta' waqfien. Wara l-attivazzjoni, iċċekkja systemctl is-active openvpn-client@office, imbagħad it-triq lejn il-prefiss imbiegħed, imbagħad resolvectl status għas-solvitur li installa t-tunnel. Iffinalizza billi tilħaq riżors wieħed li għalih jeżisti t-tunnel.
Proċess li qed jaħdem u ikona ħadra fit-tray huma fatti tal-proċess, mhux prova li l-identità u l-politika tat-traffiku għaddew mill-konsenja.
Tħaddim mill-ġdid u rtirar huma flussi tax-xogħol separati
It-tieni tħaddim għandu jikkonverġi fuq l-istess fajls riveduti u l-istess sid, mhux joħloq tieni kont jew tieni daemon. L-irtirar huwa proċedura tiegħu: waqqaf is-sid eżatt, arkivja jew ħassar il-profil lokali skont il-politika, u revoka l-identità fil-gateway. It-tħassir ta' fajl taċ-ċavetta lokali ma jirrevokax kopja li diġà ħalliet il-magna.
Żomm triq ta' rkupru li ma tiddependix mit-tunnel, bħal aċċess għall-console jew tieni rotta tal-immaniġġjar. Bidla fil-provvediment li tissakkar barra mill-magna hija bidla falluta anki meta kull fażi rrappurtat suċċess.
L-iskript li jistħoqqlu jinżamm huwa transazzjoni madwar is-sjieda u l-evidenza. Lista qasira ta' kmandi tal-kopja privileġġati mhijiex l-istess ħaġa.