L-ippjanar ta' tieqa ta' manutenzjoni tal-OpenVPN mingħajr ma titlef il-host

L-istartjar mill-ġdid tas-servizz VPN itemm kull sessjoni li tużah, għalhekk it-tieqa trid tinbena madwar konversazzjonijiet u mhux madwar il-package manager. L-utenti jeħtieġu notifika biżżejjed biex itemmu xogħol sensittiv, u inti teħtieġ triq lura li ma tiddependix mit-tunnel li se twaqqaf. Kull ħaġa oħra fil-playbook teżisti biex dawn iż-żewġ fatti jsiru maniġġabbli. Ħalli waħda minnhom barra u aġġornament ta' rutina jsir waqfien mingħajr ħruġ.

L-ordni hawn taħt hija intenzjonata: kull stadju jipproduċi xi ħaġa li l-istadju li jmiss jeħtieġ, u kull stadju jista' jtemm il-bidla qabel ma tibda.

Aqbad is-servizz li jeżisti qabel ma tbiddlu

Aqra l-unit installat u mhux dak li tiftakar li ktibt: systemctl cat [email protected] jipprintja l-unit u kull drop-in, u systemctl show [email protected] -p ExecStart -p User -p WorkingDirectory juri x'qed jaħdem tassew u bħala min. Staqsi lill-binary li jismi l-unit, għax openvpn --version minn shell jista' jissolvi għal build differenti. Irrekordja t-triq tal-profil u kull fajl li jirreferi għalih.

Innota s-sockets li qed jisimgħu wkoll: ss -lunp | grep 1194 jgħidlek liema indirizz u protokoll id-daemon għandu llum. Jekk it-tweġiba mhijiex dik li tissuġġerixxi l-profil, drop-in jew fajl tal-ambjent qed jegħlebha, u l-aġġornament jiret dak is-sorpriża.

Iġbor sett ta' rkupru li ħaddieħor jista' juża

Is-sett ta' rkupru jrid ikun użabbli minn kollega fis-03:00 mingħajr il-kuntest tiegħek. Inkludi l-konfigurazzjoni effettiva ma' kull fajl referenzjat, il-materjal ta' fiduċja u revoka taħt il-kontroll tas-sid tal-PKI, l-assenjazzjonijiet u l-hooks ta' kull klijent, u l-verżjonijiet eżatti tal-pakketti installati llum. Kopja ta' isem fajl wieħed mhijiex konfigurazzjoni. Aħżinha f'post li l-operatur on-call jista' jilħaq mingħajr il-VPN.

Il-kontrolli tal-aċċess japplikaw għal dak is-sett ukoll, għax fih ċwievet privati jew kredenzjali backend. Tibnix mill-ġdid is-CA u toħroġx mill-ġdid l-identitajiet sempliċement għax inbidel il-verżjoni tal-pakkett.

Ipprattika fuq listener pilota bi klijent reali

Ħaddem ir-rilaxx kandidat fuq listener separat bil-port u l-pjan tal-indirizzi tiegħu, mhux ħdejn l-istanza tal-produzzjoni fuq l-istess socket. Qabbad mal-engines tal-klijenti li l-utenti tiegħek fil-fatt jużaw, inkluż dak l-inkwiet. Iċċekkja l-assenjazzjoni tal-indirizzi, id-DNS imbuttat, applikazzjoni waħda li timporta, u triq waħda li għandha tibqa' mblukkata. Il-hooks personalizzati jridu jaħdmu fil-kuntest reali ta' privileġġ u filesystem tas-servizz, għax shell root ma jippruvax xejn dwarhom.

Aqra n-noti tar-rilaxx għall-bidliet fl-imġiba u mhux biss għall-karatteristiċi l-ġodda. Id-defaults tas-cipher u t-TLS jiċċaqalqu bejn il-verżjonijiet, u profil li għadu jinqara xorta jista' jfalli handshake. Jekk l-aġġornament jeħtieġ bidliet fil-profil jew fiċ-ċertifikat, ipprepara dak bħala pass tiegħu u mhux flimkien mal-aġġornament tal-pakkett.

Aqleb darba, minn triq barra t-tunnel

Ibda t-tieqa minn console jew netwerk ta' ġestjoni li ma jgħaddix mis-servizz. Ikkonferma li l-utenti ġew mgħarrfa u li operatur ieħor jaf kif jagħmel rollback. Applika l-bidla ppreparata permezz tas-sid tagħha, imbagħad erġa' ibda b'sudo systemctl restart [email protected] u segwi l-ġurnal b'journalctl -u openvpn-server@office -b -f. Reload huwa biżżejjed meta nbidlu biss id-definizzjonijiet tal-unit; profil mibdul jeħtieġ li l-proċess jerġa' jinbeda.

Stenna li kull klijent jerġa' jqabbad, u stenna li xi sessjonijiet tal-applikazzjoni ma jerġgħux jibdew. Ikkorda pawża nadifa mal-workloads li ma jistgħux jissaportu dak.

Ilqa' jew agħmel rollback, imbagħad għid lill-utenti x'inbidel

L-aċċettazzjoni hija login ġdid flimkien ma' operazzjoni reali flimkien mar-restrizzjonijiet li għadhom fis-seħħ. Unit attiv u linja tal-istat ħadra huma fatti tal-proċess. Jekk il-kriterji jfallu fit-tieqa, agħmel rollback bil-metodu ppreparat, mhux billi tirrestawra fajl wieħed u tittama; binary jew politika tas-servizz mibdula tibqa' wara restawr tal-konfigurazzjoni. Ippreserva kull bidla ta' revoka jew awtorizzazzjoni magħmula waqt it-tieqa biex ir-rollback ma jxejjenx ix-xogħol tas-sigurtà.

Irrekordja l-verżjonijiet, il-bidliet fil-profil u r-riżultati tal-aċċettazzjoni għall-operatur li jmiss, irtira l-listener pilota, u għid lill-utenti liema profil għandhom jużaw issa. Tieqa li tispiċċa mingħajr dik in-nota terġa' tiġi diskussa fl-aġġornament li jmiss.