Sa Access Servera na Community OpenVPN: šta treba ponovo izgraditi

Access Server i Community OpenVPN govore isti protokol i gotovo ništa drugo na isti način. Rukovanje, pregovaranje o šiframa i podatkovna ravan tunela su kompatibilni, pa klijent često može da se poveže na oba bez izmene profila. Razlika je u tome kome pripada konfiguracija: jedan proizvod isporučuje sloj upravljanja koji piše i sprovodi politiku, a drugi vam daje konfiguracionu datoteku i skup kuka i očekuje da odlučite sami.

Ta razlika je plan migracije. Sve što je stari proizvod odlučio u vaše ime mora postati izričita odluka negde u novom postavljanju.

Gde dve instalacije prestaju da budu zamenljive

U Access Serveru, veb interfejs za administraciju poseduje korisnike, grupe, dozvole po korisniku, izdavanje sertifikata i paket profila koji osoba preuzima. Daemon ispod konfiguriše taj sloj, pa je usluga koja radi rezultat sačuvanog stanja koje retko uređujete ručno. U Community OpenVPN konfiguraciona datoteka jeste stanje: imenuje slušalac, ustanovu za sertifikate, kuku za autentifikaciju i svaku gurnutu opciju, i ništa je ne prepisuje umesto vas. Isti TLS mehanizam tako stoji pod dva vrlo različita modela vlasništva.

Kratko mapiranje čini jaz konkretnim. Korisnici i grupe postoje samo u staroj bazi dok ih ponovo ne napravite. Paketi profila postaju konfiguraciona datoteka plus sertifikati koje sami distribuirate. Dozvole po korisniku postaju direktive u client-config-dir. Administrativni interfejs postaje bilo koji proces koji izaberete za izdavanje sertifikata i uređivanje datoteka.

Zapišite to mapiranje pre nego što dotaknete server. Svaki red koji ne možete da popunite je funkcija koju ćete upravo izgubiti, a tihi gubitak je način na koji migracija postaje ispad dve nedelje kasnije.

Identitet se ne prenosi sa datotekama sertifikata

Sertifikati stare ustanove mogu se ispravno parsirati u novoj usluzi i ipak biti pogrešan identitet, jer ih je stari proizvod spajao sa stanjem naloga koje novi ne vidi. Najpre odlučite da li novo postavljanje autentifikuje samo sertifikatom, dodatkom koji doseže PAM ili RADIUS, ili kombinacijom, pa proverite da svaka opcija čuva svojstva koja su vam potrebna. Zajednički sertifikat bez identiteta po korisniku jedna je akreditacija za sve koji ga imaju. Opoziv mora da radi od prvog dana, što u Community OpenVPN znači CRL datoteku na koju upućuje crl-verify plus proces koji je ponovo generiše.

Planirajte upis pre prelaska, a ne posle. Novi sertifikati, isprobana staza opoziva i dokumentovan način da onemogućite jednu osobu su preduslovi, a ne posao koji sledi. Ako je višefaktorska autentifikacija došla iz integracije starog proizvoda, izričito navedite zamenu, jer dodatak koji nije instaliran pada zatvoreno u najgorem trenutku.

Usmeravanje i razrešavanje imena prate onoga koji piše konfiguraciju

Rute, DNS postavke i ponašanje punog tunela su gurnute opcije u oba proizvoda, ali ih samo jedan izračunava za vas. U Community OpenVPN sami pišete push direktive, odlučujete pripada li redirect-gateway serveru ili klijentu i potvrđujete da na hostu postoje prosleđivanje i NAT. Završeno rukovanje ne govori vam ništa o prosleđivanju, prevođenju adresa ni rutama koje je klijent stvarno dobio.

Ponašanje po klijentu traži client-config-dir plus datoteku nazvanu po common name sertifikata klijenta, a site-to-site par traži iroute unose za prefikse iza sebe. Ako je naziv pogrešan, opcije se ignorišu bez greške. Testirajte sa jednim klijentom van produkcije u njegovom sopstvenom bazenu adresa, zatim pročitajte dodeljenu adresu, dobijene rute i postavke razrešivača sa kojima je završio.

Poredajte prelazak tako da stara usluga može da se vrati

Pokrenite novi slušalac na drugom portu ili adresi i držite stari da služi saobraćaj dok dokazujete zamenu. Dva daemona na istom soketu nisu plan vraćanja.

Premeštajte jednu grupu odjednom, sa njenim sertifikatima, njenim bazenom i njenim rutama, i uvežbajte put povratka umesto da ga otkrijete tokom incidenta. Vraćanje koje radi samo ako se nova usluga prvo zaustavi i dalje je vraćanje, ali mora se isprobati dok ništa ne gori.

Na kraju popišite funkcije bez direktnog ekvivalenta i odlučite sudbinu svake napisano: preuzimanje profila u samoposluzi, zastavice dozvola po korisniku, sam administrativni interfejs, izveštavanje o vezama uživo. Zamena dokumentovanim ručnim procesom je legitiman odgovor. Ostavljanje reda praznim nije.

Posao je gotov kada korisnik koji nikada nije video stari portal može da se upiše, poveže, dođe do predviđene interne adrese i bude čisto opozvan. Sve pre toga je priprema.