OpenVPN Access Server: reštartovať démona alebo použiť nastavenie

Dva príkazy sa vkladajú na to, čo vyzerá ako rovnaká úloha na OpenVPN Access Server, a robia rozdielne veci. systemctl restart openvpnas zastaví a spustí celý produkt. sacli start zdvihne interné služby, ktoré čítajú konfiguráciu, ktorú ste práve zmenili. Voľba medzi nimi nie je otázkou vkusu: závisí od toho, čo hovorí dokumentácia samotného nastavenia, či vaša relácia prechádza cez server, ktorý sa chystáte reštartovať, a či sa vôbec pozeráte na správny produkt.

Dve vrstvy, jeden démon

Access Server beží ako jedna jednotka systemd, openvpnas, a tento démon dohliada na interné služby za webovým rozhraním a na poslucháčov VPN. sacli je rozhranie príkazového riadka k tej istej inštalácii, v /usr/local/openvpn_as/scripts/sacli, a dokáže tieto interné komponenty spustiť, zastaviť a opýtať sa ich bez nahradenia jednotky.

Preto existujú oba príkazy. Reštart démona vykoná všetko znova, vrátane procesu, ktorý ukončuje klientske tunely. sacli start požiada už bežiaceho démona, aby zdvihol svoje komponenty, aby prečítali novú konfiguráciu, a to je to, čo väčšina zmien vlastností skutočne vyžaduje.

Podmienka prvá: čo hovorí dokumentácia nastavenia

Čítajte stránku nastavenia, ktoré ste zmenili, nie toho, ktoré ste menili minulý mesiac. Za vlastnosťou zapísanou cez ConfigPut zvyčajne nasleduje sacli start a táto dvojica je dokumentovaný krok použitia. Zmena správania na úrovni poslucháča alebo čokoľvek, čo stránka opisuje ako vyžadujúce reštart služby, je trieda, kde je reštart jednotky správny.

Oba príkazy nie sú zameniteľné, takže chybový režim pri hádaní je asymetrický. Použitie sacli start, keď bol potrebný úplný reštart, nechá starý proces obsluhovať predchádzajúcu konfiguráciu, čo vyzerá, akoby bolo nastavenie ignorované. Úplný reštart, keď by stačil sacli start, zhodí každého pripojeného klienta bez dôvodu.

Podmienka druhá: je vaša relácia vnútri tunela

Ak spravujete Access Server cez VPN, ktoré poskytuje, reštart odstráni spojenie, ktoré nesie váš shell. Príkaz sa môže dokončiť až po smrti relácie, takže len hádáte, či zabral. sacli start môže reláciu krátko prerušiť z rovnakého dôvodu, keď reštartovaná komponenta spracúva vašu prevádzku.

Pred oboma príkazmi majte otvorenú mimopásmovú cestu: konzolu poskytovateľa, konzolu hypervizora alebo sériovú reláciu. Táto podmienka rozhoduje, kedy príkaz spustíte, nie ktorý príkaz, a práve ona mení dvojminútovú zmenu na hlásenie o výpadku.

Podmienka tretia: je to produkt, ktorý si myslíte

Access Server nie je Community OpenVPN. Komunitná inštalácia prevádzkuje jednotky ako openvpn@server alebo openvpn-client@profile, s konfiguráciou v /etc/openvpn, a sacli tam neexistuje. Reštartovať každú jednotku s openvpn v názve na zdieľanom hostiteľovi je spôsob, akým nesúvisiace tunely padnú spoločne.

Zistite, skôr než sa čohokoľvek dotknete: systemctl status openvpnas --no-pager odpovedá, či beží práve Access Server, sacli status vypisuje jeho interné komponenty a systemctl list-units --type=service vypisuje jednotky, ktorých názvy obsahujú openvpn. Ak posledný príkaz ukazuje jednotky s názvami profilov, ste na komunitnom produkte a zvyšok tohto sa na vás nevzťahuje.

Použite to a potom overte viac než active

Jednotka, ktorá hlási active, má bežiaci proces, čo nie je to isté ako fungujúca autentifikačná cesta. Po kroku použitia skontrolujte sacli status pre komponenty, ktoré ste očakávali reštartovať, potvrďte, že hodnota bola uložená cez sacli ConfigQuery, a potom spustite jedno obmedzené prihlásenie klienta na testovací účet.

Skončite niečím na úrovni aplikácie: dosiahnite privátny zdroj tunelom, nie len ping na verejnú adresu servera. Handshake, ktorý uspeje, aj keď je pretlačená trasa alebo nastavenie DNS nesprávne, prejde každou kontrolou služby a napriek tomu sklame človeka, ktorý problém nahlásil.

tutoriál poskytovateľa o správe služieb je referencia pre to, ktoré operácie patria sacli, a oplatí sa ju otvoriť predtým, než usúdite, že reštart je bezpečná voľba.

Rozhodnutie na jeden prechod

Prejdite tieto štyri riadky a zastavte sa pri prvom, ktorý sedí:

• Stránka nastavenia uvádza sacli start, alebo ste práve spustili ConfigPut: použite sacli start.
• Stránka vyžaduje reštart alebo sa zmena týka poslucháčov, nie vlastností: použite systemctl restart openvpnas.
• Váš shell prichádza cez tento server: najprv zabezpečte prístup ku konzole a potom spustite príkaz, ktorý vybrali dva riadky vyššie.
• Overenie: sacli status, ConfigQuery na hodnotu, jedno prihlásenie, jeden privátny zdroj. Samotný stav služby nie je cieľom.

Dva z tých riadkov sú kontroly a dva akcie, a to je zmysel poradia. Ak nedokážete odpovedať na otázku o produkte, zastavte sa: príkaz, ktorý ste chceli spustiť, patrí inej inštalácii a tunel, ktorý zhodíte, nebude ten, ktorý ste mali na mysli.