Trasa zariadenia OpenVPN: vlastník konfigurácie alebo spúšťací skript?
Pobočková trasa, ktorá prežije jedno reštartovanie, môže po uložení v GUI alebo aktualizácii firmvéru stále zmiznúť. Porovnajte podporovaného vlastníka konfigurácie s opravným skriptom.
Pridáte pobočkovú trasu, funguje, a potom ju aktualizácia firmvéru alebo uloženie z webového rozhrania odstráni. Dve opravy v tom momente vyzerajú rovnako rozumne: umiestniť trasu do podporovaného zdroja konfigurácie zariadenia alebo ju pripísať k generovanému súboru zo spúšťacieho skriptu. Týždeň sa správajú rovnako a pri druhej aktualizácii sa rozídu. Tento článok porovnáva, čo každá z nich skutočne vlastní.
Dvaja kandidáti vlastnia rôzne veci
Podporovaný zdroj konfigurácie je všetko, čo zariadenie považuje za vstup: pole v GUI, importovaný profil, dokumentovaný adresár pre jednotlivých klientov, databáza nastavení, ktorú číta správny balík. Generovaný server.conf je výstup. Úprava výstupu funguje, kým generátor nebeží znova, a to sa deje pri ukladaní, pri reštarte a pri aktualizácii.
Prístup so skriptom zalátava tento výstup po skončení generátora. Je to legitímna technika pre laboratórium a je to nesprávna predvoľba pre pobočku, pretože robí trasu závislou od zhody textu namiesto dokumentovaného poľa.
| Question | Supported config source | Post-generation script |
|---|---|---|
| Survives a GUI save | Yes | Only if the save does not regenerate the file |
| Survives a package upgrade | Usually, when the field is documented | No guarantee; the wrapper can be replaced |
| Supportable by the vendor | Yes | No |
| Obvious to the next admin | Yes, it is in the UI | No, it lives in a wrapper |
Čo zariadenie regeneruje a kedy
Správne balíky zvyčajne držia nastavenia v databáze alebo v sade šablón a pri štarte generujú konfiguráciu démona. Uloženie z webového rozhrania často prepíše celý súbor namiesto zalátania jedného riadka. Ak vaša zmena žila v tom súbore, teraz je preč, a nič nezaznamená varovanie, pretože z pohľadu zariadenia sa nič nestratilo.
Spúšťacie obaly majú druhý režim zlyhania. grep na direktívu s určitým odstupom prestane po zmene šablóny zodpovedať a skript ticho nič nerobí. Horšie, aktualizácia firmvéru môže obal nahradiť novou verziou a záplatu odniesť so sebou. Potom máte trasu, ktorá existovala rok a zmizla počas údržby, ktorú nikto nespájal so smerovaním.
Čo musí podporovaný vlastník vyjadriť
Pobočková predpona potrebuje tri tvrdenia, nie jedno. Klient sa musí trasu naučiť, server musí vedieť, ktorý overený klient predponu vlastní, a pobočková strana musí vracať prevádzku na adresu tunela, ktorá jej bola pridelená. V terminológii OpenVPN to znamená odoslanú route, zodpovedajúcu iroute zviazanú s klientom a spätnú cestu na druhej strane.
Tu rozhrania zariadení zavádzajú. Zaškrtávacie pole s popisom „povoliť klientom prístup k LAN servera“ opisuje prevádzku smerom k vlastnej sieti servera. Vaša pobočka je opačný smer: sieť za jedným klientom, dostupná zo strany servera. Rovnaký popis neznamená podporu tohto a platná direktíva v súbore nie je sľub, že ju balík zachová.
Keď neexistuje podporovaná kontrola
Niekedy inštalované vydanie skutočne nedokáže vyjadriť trasu špecifickú pre protistranu. Potom sú čestné možnosti iná brána, ktorú ovládate, alebo podporovaný režim lokalita-lokalita na oboch koncoch. Oba konce ním musia hovoriť. Stránka produktu, ktorá hovorí lokalita-lokalita, nerobí ľubovoľný profil OpenVPN zameniteľným s tunelom iného protokolu a vynútenie tejto dvojice zvyčajne vytvorí napoly pripojený tunel, ktorý na stavovej stránke vyzerá dobre.
Vyberte možnosť, ktorú dokážete opísať jednou vetou tomu, kto sieť zdedí. Ak odpoveď vyžaduje spomenúť cestu k skriptu a textový vzor, návrh je už krehký.
Urobte zámer auditovateľným
Zaznamenajte zmluvu mimo zariadenia: efektívnu identitu klienta, predponu, spätnú bránu a podporované pole, ktoré každé z nich poskytuje. Exportujte konfiguráciu podporovaným mechanizmom, aby mala prestavba referenciu, a overte službu po opätovnom pripojení, reštarte a aktualizácii, nie len po zmene.
Keď sa niečo pokazí, porovnajte generovaný výsledok s týmto záznamom, namiesto toho, aby ste obnovili nevysvetlený riadok a dúfali.referenciu OpenVPN 2.6 je miesto, kde si pred hádkou s rozhraním potvrdíte, ako route a iroute spolupôsobia.
Kontrolný zoznam pre ďalšiu zmenu: pomenujte vlastníka, uveďte trojčasťovú zmluvu, exportujte zámer a otestujte znova po vlastných udalostiach životného cyklu zariadenia, nie po svojej úprave.