Frå Access Server til Community OpenVPN: kva som må byggjast opp att

Access Server og Community OpenVPN snakkar same protokoll og nesten ingenting anna på same vis. Handtrykket, forhandlinga om chiffre og dataplana til tunnelen er kompatible, så ein klient kan ofte kople seg til båe utan å endre profilen sin. Skilnaden er kven som eig konfigurasjonen: det eine produktet leverer eit styringslag som skriv og handhevar policy, det andre gjev deg ei konfigurasjonsfil og eit sett krokar og ventar at du avgjer.

Den skilnaden er migreringsplanen. Alt det gamle produktet avgjorde på dine vegner, må bli eit tydeleg val ein stad i den nye utrullinga.

Der dei to utrullingane sluttar å vere utbyttbare

I Access Server eig nettadministrasjonsgrensesnittet brukarar, grupper, rettar per brukar, sertifikatutgjeving og profilpakken nokon lastar ned. Tenaren under vert styrt av det laget, så tenesta som køyrer er resultatet av lagra tilstand du sjeldan redigerer for hand. I Community OpenVPN er konfigurasjonsfila tilstanden: ho namngjev lyttaren, sertifikatstyresmakta, autentiseringskroken og kvart einaste dytta val, og ingenting skriv ho om for deg. Den same TLS-maskina står dermed under to svært ulike eigarskapsmodellar.

Ei kort kartlegging gjer gapet konkret. Brukarar og grupper finst berre i den gamle databasen til du lagar dei på nytt. Profilpakkar blir ei konfigurasjonsfil pluss sertifikat du deler ut sjølv. Rettar per brukar blir direktiv i client-config-dir. Administrasjonsgrensesnittet blir den prosessen du vel for å gje ut sertifikat og redigere filer.

Skriv kartlegginga ned før du tek på ein tenar. Kvar rad du ikkje kan fylla ut er ein funksjon du er i ferd med å miste, og å miste han i det stille er måten ein migrasjon blir eit avbrot to veker seinare.

Identitet følgjer ikkje med sertifikatfilene

Sertifikat frå den gamle styresmakta kan tolkast rett i den nye tenesta og likevel vere feil identitet, fordi det gamle produktet kopla dei til kontotilstand den nye ikkje ser. Avgjer først om den nye utrullinga autentiserer med sertifikat åleine, med ein plugin som når PAM eller RADIUS, eller med ein kombinasjon, og sjekk så at kvart val held på eigenskapane du treng. Eit delt sertifikat utan identitet per brukar er éi innlogging for alle som har det. Tilbakekalling må òg verke frå første dag, som i Community OpenVPN tyder ei CRL-fil som crl-verify peikar på, pluss ein prosess som lagar ho på nytt.

Planlegg registreringa før overgangen, ikkje etterpå. Nye sertifikat, ein testa tilbakekallingsveg og ein dokumentert måte å slå av éin person er føresetnader, ikkje oppfølgjing. Kom flerfaktorautentisering frå integrasjonen i det gamle produktet, nemn erstattaren tydeleg, fordi ein plugin som ikkje er installert feilar lukka på det verste tidspunktet.

Ruting og namneoppslag følgjer den som skriv konfigurasjonen

Ruter, DNS-innstillingar og åtferda til full tunnel er dytta val i båe produkta, men berre éin reknar dei ut for deg. I Community OpenVPN skriv du push-direktiva sjølv, avgjer om redirect-gateway høyrer til tenaren eller klienten, og stadfestar at vidaresending og NAT finst på verten. Eit fullført handtrykk seier ingenting om vidaresending, adresseomsetjing eller rutene klienten faktisk fekk.

Åtferd per klient krev client-config-dir pluss ei fil kalla opp etter klienten sin sertifikat-common-name, og eit par frå stad til stad krev iroute-oppføringar for prefiksa bak. Er namnet feil, vert vala ignorerte utan feilmelding. Test med éin klient utanfor produksjon i sitt eige adressebasseng, og les så adressa han fekk, rutene han fekk og resolvarinnstillingane han enda med.

Set overgangen i rekkjefølgje slik at den gamle tenesta kan kome attende

Køyr den nye lyttaren på ein annan port eller adresse, og lat den gamle tena trafikk medan du provar erstattaren. To tenarar på éin socket er ingen tilbakerullingsplan.

Flytt éi gruppe om gongen, med eigne sertifikat, eige basseng og eigne ruter, og øv på returvegen i staden for å oppdage han midt i ei hending. Ei tilbakerulling som berre verkar om den nye tenesta vert stoppa først, er framleis ei tilbakerulling, men ho må testast når ingenting brenn.

Til slutt: list opp funksjonane utan direkte motstykke og avgjer lagnaden til kvar av dei skriftleg: sjølvbetent profilnedlasting, rettsflagg per brukar, sjølve administrasjonsgrensesnittet, sanntidsrapportering av tilkoplingar. Å byte dei ut med ein dokumentert manuell prosess er eit gyldig svar. Å la rada stå tom er det ikkje.

Arbeidet er ferdig når ein brukar som aldri har sett den gamle portalen kan registrere seg, kople til, nå den tiltenkte interne adressa og bli ryddig tilbakekalla. Alt før det er førebuing.