OpenVPN Access Server: restartujte demon ili primijenite postavku

Dvije komande se lijepe za ono što izgleda kao isti posao na OpenVPN Access Server, a rade različite stvari. systemctl restart openvpnas zaustavlja i pokreće cijeli proizvod. sacli start podiže interne servise koji čitaju konfiguraciju koju ste upravo promijenili. Biranje između njih nije stvar ukusa: zavisi od toga šta kaže dokumentacija same postavke, da li vaša sesija prolazi kroz server koji ćete restartovati i da li uopšte gledate pravi proizvod.

Dva sloja, jedan demon

Access Server radi kao jedna systemd jedinica, openvpnas, i taj demon nadgleda interne servise iza web interfejsa i VPN slušalaca. sacli je komandna linija prema istoj instalaciji, na /usr/local/openvpn_as/scripts/sacli, i može pokretati, zaustavljati i ispitivati te interne komponente bez zamjene jedinice.

Zato postoje obje komande. Restart demona izvršava sve iznova, uključujući proces koji prekida klijentske tunele. sacli start traži od već pokrenutog demona da podigne svoje komponente kako bi pročitale novu konfiguraciju, i to je ono što većina promjena svojstava zaista zahtijeva.

Uslov prvi: što kaže dokumentacija postavke

Čitajte stranicu za postavku koju ste promijenili, ne za onu koju ste mijenjali prošlog mjeseca. Nakon svojstva zapisanog kroz ConfigPut obično slijedi sacli start, i taj par je dokumentovani korak primjene. Promjena ponašanja na nivou slušaoca, ili bilo šta što stranica opisuje kao zahtjev za restart servisa, klasa je u kojoj je restart jedinice ispravan.

Dvije komande nisu zamjenjive, pa je način greške kod nagađanja asimetričan. Korištenje sacli start kada je bio potreban potpuni restart ostavlja stari proces da još služi prethodnu konfiguraciju, što izgleda kao da je postavka zanemarena. Potpuni restart kada bi sacli start bio dovoljan izbacuje svakog povezanog klijenta bez razloga.

Uslov drugi: je li vaša sesija unutar tunela

Ako administrirate Access Server preko VPN-a koji on pruža, restart uklanja vezu koja nosi vaš shell. Komanda se može dovršiti nakon što vaša sesija umre, pa nagađate je li uspjela. sacli start takođe može nakratko prekinuti sesiju iz istog razloga kada komponenta koja se restartuje obrađuje vaš saobraćaj.

Držite otvoren vanpojasni put prije bilo koje komande: konzolu provajdera, konzolu hipervizora ili serijsku sesiju. Ovaj uslov odlučuje kada izvršavate komandu, a ne koju komandu, i on pretvara promjenu od dvije minute u izvještaj o prekidu.

Uslov treći: je li to proizvod koji mislite

Access Server nije Community OpenVPN. Community instalacija pokreće jedinice poput openvpn@server ili openvpn-client@profile, s konfiguracijom u /etc/openvpn, i sacli tamo ne postoji. Restartovanje svake jedinice s openvpn u imenu na dijeljenom hostu način je na koji nepovezani tuneli padaju zajedno.

Utvrdite prije nego što bilo šta dotaknete: systemctl status openvpnas --no-pager odgovara radi li Access Server, sacli status navodi njegove interne komponente, a systemctl list-units --type=service navodi jedinice kojima imena sadrže openvpn. Ako posljednja komanda pokazuje jedinice s imenima profila, na Community ste proizvodu i ostatak ovoga se na vas ne odnosi.

Primijenite, pa provjerite dalje od active

Jedinica koja izvještava active ima proces koji radi, što nije isto što i radna putanja autentifikacije. Nakon koraka primjene provjerite sacli status za komponente koje ste očekivali da će se restartovati, potvrdite da je vrijednost sačuvana kroz sacli ConfigQuery, pa pokrenite jedno ograničeno prijavljivanje klijenta na testni račun.

Završite nečim na nivou aplikacije: dođite do privatnog resursa kroz tunel, a ne samo ping na javnu adresu servera. Rukovanje koje uspije dok su ruta ili DNS postavka pogrešni proći će svaku provjeru servisa i ipak iznevjeriti osobu koja je prijavila problem.

vodič provajdera za upravljanje servisima je referenca za to koje operacije pripadaju sacli, i vrijedi ga otvoriti prije nego zaključite da je restart sigurna opcija.

Odluka u jednom prolazu

Prođite kroz ova četiri reda i zaustavite se na prvom koji se poklapa:

• Stranica postavke navodi sacli start, ili ste upravo izvršili ConfigPut: koristite sacli start.
• Stranica zahtijeva restart, ili promjena dira slušaoce, a ne svojstva: koristite systemctl restart openvpnas.
• Vaš shell dolazi kroz ovaj server: prvo osigurajte pristup konzoli, pa izvršite komandu koju su odabrala dva reda iznad.
• Provjera: sacli status, ConfigQuery za vrijednost, jedna prijava, jedan privatni resurs. Samo stanje servisa nije ciljna linija.

Dva su od tih redaka provjere, a dva radnje, i to je poenta redoslijeda. Ako ne možete odgovoriti na pitanje o proizvodu, stanite: komanda koju ste htjeli izvršiti pripada drugoj instalaciji, a tunel koji oborite neće biti onaj koji ste mislili.