Fra Access Server til Community OpenVPN: hva som må bygges på nytt

Access Server og Community OpenVPN snakker samme protokoll og nesten ingenting annet på samme måte. Håndtrykket, forhandlingen om chiffere og tunnelens dataplan er kompatible, så en klient kan ofte koble til begge uten å endre profilen sin. Forskjellen er hvem som eier konfigurasjonen: det ene produktet leverer et administrasjonslag som skriver og håndhever policy, det andre gir deg en konfigurasjonsfil og et sett med kroker og forventer at du bestemmer.

Den forskjellen er migreringsplanen. Alt det gamle produktet bestemte på dine vegne, må bli et eksplisitt valg et sted i den nye utrullingen.

Der de to utrullingene slutter å være utbyttbare

I Access Server eier webadministrasjonsgrensesnittet brukere, grupper, rettigheter per bruker, sertifikatutstedelse og profilpakken en person laster ned. Tjeneren under konfigureres av det laget, så tjenesten som kjører er resultatet av lagret tilstand du sjelden redigerer for hånd. I Community OpenVPN er konfigurasjonsfilen tilstanden: den navngir lytteren, sertifikatmyndigheten, autentiseringskroken og hvert dyttet alternativ, og ingenting skriver den om for deg. Den samme TLS-maskinen står altså under to svært ulike eierskapsmodeller.

En kort kartlegging gjør gapet konkret. Brukere og grupper finnes bare i den gamle databasen til du gjenskaper dem. Profilpakker blir en konfigurasjonsfil pluss sertifikater du distribuerer selv. Rettigheter per bruker blir direktiver i client-config-dir. Administrasjonsgrensesnittet blir den prosessen du velger for å utstede sertifikater og redigere filer.

Skriv ned kartleggingen før du rører en server. Hver rad du ikke kan fylle ut er en funksjon du er i ferd med å miste, og å miste den i stillhet er måten en migrering blir et avbrudd to uker senere.

Identitet overføres ikke med sertifikatfilene

Sertifikater fra den gamle myndigheten kan tolkes riktig i den nye tjenesten og likevel være feil identitet, fordi det gamle produktet parret dem med kontotilstand den nye ikke ser. Bestem først om den nye utrullingen autentiserer med sertifikat alene, med en plugin som når PAM eller RADIUS, eller med en kombinasjon, og kontroller deretter at hvert alternativ bevarer egenskapene du trenger. Et delt sertifikat uten identitet per bruker er én legitimasjon for alle som har det. Tilbakekalling må også virke fra første dag, som i Community OpenVPN betyr en CRL-fil som crl-verify peker på, pluss en prosess som genererer den på nytt.

Planlegg registreringen før overgangen, ikke etter. Nye sertifikater, en testet tilbakekallingsvei og en dokumentert måte å deaktivere én person er forutsetninger, ikke oppfølgingsarbeid. Hvis flerfaktorautentisering kom fra integrasjonen i det gamle produktet, navngi erstatningen eksplisitt, fordi en plugin som ikke er installert feiler lukket på det verste øyeblikket.

Ruting og navneoppslag følger den som skriver konfigurasjonen

Ruter, DNS-innstillinger og oppførsel for full tunnel er dyttede alternativer i begge produktene, men bare ett av dem regner dem ut for deg. I Community OpenVPN skriver du push-direktivene selv, bestemmer om redirect-gateway hører til tjeneren eller klienten, og bekrefter at videresending og NAT finnes på verten. Et fullført håndtrykk sier ingenting om videresending, adresseoversettelse eller rutene klienten faktisk fikk.

Oppførsel per klient krever client-config-dir pluss en fil navngitt etter klientens sertifikat-common-name, og et site-til-site-par krever iroute-oppføringer for prefiksene bak. Er navnet feil, ignoreres alternativene uten feil. Test med én klient utenfor produksjon i sitt eget adressebasseng, og les deretter adressen den fikk, rutene den fikk og resolver-innstillingene den endte med.

Sekvensier overgangen slik at den gamle tjenesten kan komme tilbake

Kjør den nye lytteren på en annen port eller adresse, og la den gamle betjene trafikk mens du beviser erstatningen. To tjenere på én socket er ikke en tilbakerullingsplan.

Flytt én gruppe om gangen, med egne sertifikater, eget basseng og egne ruter, og øv på returveien i stedet for å oppdage den midt i en hendelse. En tilbakerulling som bare virker hvis den nye tjenesten stoppes først, er fortsatt en tilbakerulling, men den må testes når ingenting brenner.

Til slutt, list funksjonene uten direkte motstykke og avgjør skjebnen til hver av dem skriftlig: selvbetjent profildownload, rettighetsflagg per bruker, selve administrasjonsgrensesnittet, sanntidsrapportering av tilkoblinger. Å erstatte dem med en dokumentert manuell prosess er et legitimt svar. Å la raden stå tom er det ikke.

Arbeidet er ferdig når en bruker som aldri har sett den gamle portalen kan registrere seg, koble til, nå den tiltenkte interne adressen og bli ryddig tilbakekalt. Alt før det er forberedelse.