OpenVPN-apparatrute: konfigurasjonseigar eller oppstartsskript?
Ei filialrute som overlever éin omstart kan likevel forsvinne etter ei lagring i GUI-et eller ei fastvareoppdatering. Samanlikn den støtta konfigurasjonseigaren med eit patchskript.
Du legg til ei filialrute, ho verkar, og så fjernar ei fastvareoppdatering eller ei lagring frå nettgrensesnittet henne. To rettingar ser like rimelege ut i det augneblinken: å leggje ruta i den støtta konfigurasjonskjelda til apparatet, eller å føye henne til den genererte fila frå eit oppstartsskript. Dei oppfører seg likt i ei veke og skil lag ved den andre oppgraderinga. Denne artikkelen samanliknar kva kvar av dei faktisk eig.
Dei to kandidatane eig ulike ting
Den støtta konfigurasjonskjelda er alt apparatet handsamar som inndata: eit GUI-felt, ein importert profil, ei dokumentert mappe per klient, ein innstillingsdatabase som administrasjonspakken les. Den genererte server.conf er utdata. Å redigere utdata verkar til generatoren køyrer igjen, og det skjer ved lagring, ved omstart og ved oppgradering.
Skripttilnærminga patchar den utdataen etter at generatoren er ferdig. Det er ein legitim teknikk for eit laboratorium, og det er feil standard for eit filialkontor, fordi det gjer ruta avhengig av tekstmatch i staden for eit dokumentert felt.
| Question | Supported config source | Post-generation script |
|---|---|---|
| Survives a GUI save | Yes | Only if the save does not regenerate the file |
| Survives a package upgrade | Usually, when the field is documented | No guarantee; the wrapper can be replaced |
| Supportable by the vendor | Yes | No |
| Obvious to the next admin | Yes, it is in the UI | No, it lives in a wrapper |
Kva apparatet regenererer, og når
Administrasjonspakkar held vanlegvis innstillingar i ein database eller eit sett med malar og genererer daemonkonfigurasjonen ved start. Ei lagring frå nettgrensesnittet skriv ofte om heile fila i staden for å patche éi linje. Viss endringa di levde i den fila, er ho no borte, og ingenting loggar ei åtvaring, fordi frå apparatet sitt synspunkt gjekk ingenting tapt.
Oppstartsinnpakkingar har ein andre feilmodus. Ein grep etter ein direktiv med bestemd avstand sluttar å matche etter ei malendring, og skriptet gjer stille ingenting. Verre, ei fastvareoppdatering kan erstatte innpakkinga med ein ny versjon og ta patchen med seg. Då har du ei rute som fanst i eit år og forsvann under vedlikehald som ingen kopla til ruting.
Kva den støtta eigaren må uttrykkje
Eit filialprefiks treng tre utsegner, ikkje éi. Klienten må lære ruta, tenaren må vite kva autentisert klient som eig prefikset, og filialsida må sende trafikken tilbake til tunneladressa ho fekk. I OpenVPN-termar tyder det ein pusha route, ein samsvarande iroute bunden til klienten, og ein returveg på den andre sida.
Det er her grensesnitta til apparata villeder. Ein avkryssingsboks merkt «la klientar få tilgang til LAN-et til tenaren» skildrar trafikk mot tenaren sitt eige nettverk. Filialen din er motsett retning: eit nettverk bak éin klient, tilgjengeleg frå tenarsida. Den same etiketten tyder ikkje støtte for det, og ein gyldig direktiv i ei fil er ikkje eit løfte om at pakken bevarer han.
Når det ikkje finst noka støtta kontroll
Nokre gonger kan den installerte utgåva verkeleg ikkje uttrykkje ei peer-spesifikk rute. Då er dei ærlege alternativa ein annan gateway du kontrollerer, eller ein støtta nettstad-til-nettstad-modus i begge endar. Begge endane må snakke han. Ei produktside som seier nettstad-til-nettstad gjer ikkje ein vilkårleg OpenVPN-profil utskiftbar med tunnelen til ein annan protokoll, og å tvinge det paret gir vanlegvis ein halvtilkopla tunnel som ser fin ut på ei statusside.
Vel alternativet du kan skildre i éi setning til den som arvar nettverket. Viss svaret krev at du nemner ein skriptsti og eit tekstmønster, er designet allereie skjørt.
Gjer intensjonen reviderbar
Registrer kontrakten utanfor apparatet: effektiv klientidentitet, prefiks, returgateway og det støtta feltet som leverer kvar av dei. Eksporter konfigurasjonen gjennom den støtta mekanismen slik at ein gjenoppbygging har ein referanse, og verifiser tenesta etter ein gjenoppkopling, ein omstart og ei oppgradering i staden for berre etter endringa.
Samanlikn det genererte resultatet med den registreringa når noko bryt, i staden for å gjenopprette ei uforklart linje og håpe.OpenVPN 2.6-referansen er staden for å stadfeste korleis route og iroute samspelar før du kranglar med eit grensesnitt.
Sjekkliste for neste endring: namnge eigaren, angi den tredelte kontrakten, eksporter intensjonen, og test på nytt etter apparatet sine eigne livssyklushendingar i staden for etter redigeringa di.