Od Access Serveru po Community OpenVPN: čo treba znova postaviť

Access Server a Community OpenVPN hovoria rovnaký protokol a takmer nič iné rovnakým spôsobom. Podanie ruky, vyjednávanie šifier a dátová rovina tunela sú kompatibilné, takže klient sa často pripojí k obom bez úpravy profilu. Rozdiel je v tom, komu patrí konfigurácia: jeden produkt dodáva vrstvu správy, ktorá píše a presadzuje politiku, druhý vám dá konfiguračný súbor a sadu háčikov a očakáva, že rozhodnete vy.

Ten rozdiel je plán migrácie. Všetko, čo starý produkt rozhodol za vás, sa musí stať výslovným rozhodnutím niekde v novom nasadení.

Kde dve nasadenia prestávajú byť zameniteľné

V Access Serveri webové administračné rozhranie vlastní používateľov, skupiny, oprávnenia na používateľa, vydávanie certifikátov a balík profilu, ktorý si človek stiahne. Démon pod ním je konfigurovaný tou vrstvou, takže bežiaca služba je výsledkom uloženého stavu, ktorý ručne upravujete len zriedka. V Community OpenVPN je konfiguračný súbor stavom: pomenúva poslucháča, certifikačnú autoritu, háčik autentifikácie a každú posielanú voľbu, a nič ho za vás neprepisuje. Tá istá TLS mašinéria tak stojí pod dvoma veľmi odlišnými modelmi vlastníctva.

Krátke mapovanie robí medzeru konkrétnou. Používatelia a skupiny existujú len v starej databáze, kým ich znova nevytvoríte. Balíky profilu sa stanú konfiguračným súborom plus certifikátmi, ktoré šírite sami. Oprávnenia na používateľa sa stanú direktívami v client-config-dir. Administračné rozhranie sa stane procesom, ktorý si vyberiete na vydávanie certifikátov a úpravu súborov.

Zapíšte si to mapovanie predtým, než sa dotknete servera. Každý riadok, ktorý neviete vyplniť, je funkcia, ktorú práve strácate, a tiché strácanie je cesta, ktorou sa migrácia po dvoch týždňoch stane výpadkom.

Identita sa neprenáša s certifikačnými súbormi

Certifikáty starej autority sa môžu v novej službe správne parsovať a napriek tomu byť nesprávnou identitou, pretože starý produkt ich spájal so stavom účtu, ktorý nový nevidí. Najprv rozhodnite, či nové nasadenie autentifikuje iba certifikátom, doplnkom, ktorý dosiahne PAM alebo RADIUS, alebo kombináciou, a potom overte, či každá možnosť zachováva potrebné vlastnosti. Zdieľaný certifikát bez identity na používateľa je jedno prihlasovacie údaje pre všetkých, ktorí ho majú. Odvolanie musí fungovať od prvého dňa, čo v Community OpenVPN znamená súbor CRL, na ktorý odkazuje crl-verify, plus proces, ktorý ho znova vytvára.

Registráciu naplánujte pred prepnutím, nie po ňom. Nové certifikáty, otestovaná cesta odvolania a zdokumentovaný spôsob, ako vypnúť jedného človeka, sú predpoklady, nie následná práca. Ak viacfaktorová autentifikácia prišla z integrácie starého produktu, pomenujte náhradu výslovne, pretože nenainštalovaný doplnok zlyhá zavretý v najhoršom okamihu.

Smerovanie a rozlišovanie názvov nasledujú autora konfigurácie

Trasy, nastavenia DNS a správanie plného tunela sú posielané voľby v oboch produktoch, ale len jeden ich vypočíta za vás. V Community OpenVPN píšete push direktívy sami, rozhodujete, či redirect-gateway patrí serveru alebo klientovi, a potvrdzujete, že na hostiteľovi existuje presmerovanie a NAT. Dokončené podanie ruky vám nepovie nič o presmerovaní, preklade adries ani trasách, ktoré klient skutočne dostal.

Správanie na klienta vyžaduje client-config-dir plus súbor pomenovaný podľa common name certifikátu klienta, a pár lokalita až lokalita vyžaduje záznamy iroute pre prefixy za ním. Ak je názov nesprávny, voľby sa ignorujú bez chyby. Otestujte s jedným nevýrobným klientom v jeho vlastnom bazéne adries, potom prečítajte pridelenú adresu, prijaté trasy a nastavenia resolvera, s ktorými skončil.

Zoraďte prepnutie tak, aby sa stará služba mohla vrátiť

Spustite nového poslucháča na inom porte alebo adrese a nechajte starého obsluhovať prevádzku, kým preukazujete náhradu. Dva démoni na jednom sockete nie sú plán návratu.

Presúvajte jednu skupinu naraz, s jej certifikátmi, jej bazénom a jej trasami, a nacvičte si cestu späť namiesto toho, aby ste ju objavili počas incidentu. Návrat, ktorý funguje len vtedy, ak sa najprv zastaví nová služba, je stále návrat, ale treba ho otestovať, keď nič nehorí.

Nakoniec vymenujte funkcie bez priameho ekvivalentu a rozhodnite osud každej z nich písomne: samoobslužné sťahovanie profilu, príznaky oprávnení na používateľa, samotné administračné rozhranie, reportovanie pripojení v reálnom čase. Nahradiť ich zdokumentovaným manuálnym procesom je legitímna odpoveď. Nechať riadok prázdny nie je.

Práca je hotová, keď sa človek, ktorý nikdy nevidel starý portál, môže zaregistrovať, pripojiť, dostať sa na zamýšľanú internú adresu a byť čisto odvolaný. Všetko pred tým je príprava.