Planiranje prozora održavanja OpenVPN-a bez gubitka hosta

Ponovno pokretanje VPN usluge završava svaku sesiju koja ju koristi, pa se prozor mora graditi oko razgovora, a ne oko upravitelja paketa. Korisnicima treba dovoljna najava da dovrše osjetljiv rad, a vama treba put natrag koji ne ovisi o tunelu koji ćete zaustaviti. Sve ostalo u priručniku postoji da ta dva fakta učini savladivima. Preskočite bilo koje od njih i rutinsko ažuriranje postaje prekid bez izlaza.

Redoslijed u nastavku je namjeran: svaka faza daje nešto što sljedeća faza treba, i svaka faza može završiti promjenu prije nego što počne.

Zabilježite uslugu koja postoji prije nego je promijenite

Čitajte instaliranu jedinicu, a ne onu koju mislite da ste napisali: systemctl cat [email protected] ispisuje jedinicu i sve drop-inove, a systemctl show [email protected] -p ExecStart -p User -p WorkingDirectory pokazuje što se stvarno izvodi i kao kome. Pitajte binarnu datoteku koju jedinica navodi, jer openvpn --version iz ljuske može pokazivati na drugu gradnju. Zabilježite putanju profila i svaku datoteku na koju se poziva.

Zabilježite i utičnice koje slušaju: ss -lunp | grep 1194 govori koja adresa i protokol danas pripadaju daemonu. Ako odgovor nije onaj koji profil sugerira, drop-in ili datoteka okruženja ga nadjačava, a nadogradnja će naslijediti to iznenađenje.

Sastavite set za oporavak koji netko drugi može koristiti

Set za oporavak mora biti upotrebljiv kolegi u 03:00 bez vašeg konteksta. Uključite djelotvornu konfiguraciju sa svakom navedenom datotekom, materijal povjerenja i opoziva pod nadzorom vlasnika PKI-ja, dodjele i kuke po klijentu, te točne verzije paketa instaliranih danas. Kopija jednog imena datoteke nije konfiguracija. Pohranite ga negdje gdje dežurni operater može doći bez VPN-a.

Kontrole pristupa vrijede i za taj set, jer sadrži privatne ključeve ili backend vjerodajnice. Ne obnavljajte CA i ne izdajte identitete iznova samo zato što se promijenila verzija paketa.

Vježbajte na pilot osluškivaču sa stvarnim klijentom

Pokrenite kandidatsko izdanje na zasebnom osluškivaču s vlastitim planom portova i adresa, ne uz produkcijsku instancu na istoj utičnici. Povežite se klijentskim mehanizmima koje vaši korisnici stvarno izvode, uključujući onaj nezgodni. Provjerite dodjelu adresa, gurnuti DNS, jednu aplikaciju koja je važna i jednu putanju koja mora ostati blokirana. Prilagođene kuke moraju se izvoditi u stvarnom kontekstu privilegija i datotečnog sustava usluge, jer root ljuska o njima ništa ne dokazuje.

Čitajte napomene o izdanju zbog promjena ponašanja, ne samo novih značajki. Zadane postavke šifri i TLS-a mijenjaju se između verzija, a profil koji se još parsira ipak može pasti na rukovanju. Ako nadogradnja zahtijeva promjene profila ili certifikata, pripremite to kao zaseban korak umjesto da to spakirate u ažuriranje paketa.

Prijeđite jednom, s putanje izvan tunela

Započnite prozor s konzole ili iz upravljačke mreže koja ne prolazi kroz uslugu. Potvrdite da su korisnici obaviješteni i da drugi operater zna kako vratiti promjenu. Primijenite pripremljenu promjenu kroz njezina vlasnika, zatim ponovno pokrenite s sudo systemctl restart [email protected] i pratite dnevnik s journalctl -u openvpn-server@office -b -f. Ponovno učitavanje dovoljno je kad su se promijenile samo definicije jedinice; promijenjeni profil zahtijeva ponovno pokretanje procesa.

Očekujte da će se svaki klijent ponovno povezati i da se neke aplikacijske sesije neće nastaviti. Uskladite čistu stanku s radnim opterećenjima koja to ne mogu podnijeti.

Prihvatite ili vratite, pa recite korisnicima što se promijenilo

Prihvat je nova prijava plus stvarna operacija plus ograničenja koja su još na snazi. Aktivna jedinica i zeleni redak stanja samo su činjenice procesa. Ako kriteriji padnu unutar prozora, vratite pripremljenom metodom, a ne vraćanjem jedne datoteke i nadom; promijenjena binarna datoteka ili politika usluge preživjet će vraćanje konfiguracije. Sačuvajte svaki opoziv ili promjenu ovlasti učinjenu tijekom prozora kako vraćanje ne bi poništilo sigurnosni rad.

Zabilježite verzije, promjene profila i rezultate prihvata za sljedećeg operatera, umirovite pilot osluškivač i recite korisnicima koji profil sada koristiti. Prozor koji završi bez te bilješke ponovno se preispituje pri sljedećem ažuriranju.