Plánovanie servisného okna OpenVPN bez straty hostiteľa

Reštart služby VPN ukončí každú reláciu, ktorá ju používa, takže okno treba postaviť okolo rozhovorov, nie okolo správcu balíkov. Používatelia potrebujú dostatočné upozornenie, aby dokončili citlivú prácu, a vy potrebujete cestu späť, ktorá nezávisí od tunela, ktorý sa chystáte zastaviť. Všetko ostatné v príručke existuje preto, aby boli tieto dve skutočnosti zvládnuteľné. Vynechajte ktorúkoľvek z nich a rutinná aktualizácia sa zmení na výpadok bez východiska.

Poradie nižšie je zámerné: každá fáza vytvára niečo, čo nasledujúca fáza potrebuje, a každá fáza môže zmenu ukončiť skôr, než sa začne.

Zachyťte službu, ktorá existuje, skôr než ju zmeníte

Čítajte nainštalovanú jednotku, nie tú, o ktorej si myslíte, že ste napísali: systemctl cat [email protected] vypíše jednotku a všetky drop-iny a systemctl show [email protected] -p ExecStart -p User -p WorkingDirectory ukáže, čo skutočne beží a ako koho. Pýtajte sa na binárny súbor, ktorý jednotka uvádza, pretože openvpn --version z shellu môže ukazovať na iné zostavenie. Zapíšte cestu k profilu a každý súbor, na ktorý odkazuje.

Všimnite si aj počúvajúce sockety: ss -lunp | grep 1194 povie, akú adresu a protokol démon dnes vlastní. Ak odpoveď nie je tá, ktorú profil naznačuje, prepisuje ju drop-in alebo environmentový súbor a aktualizácia zdedí to prekvapenie.

Zostavte záchrannú sadu, ktorú môže použiť niekto iný

Záchranná sada musí byť použiteľná kolegom o 03:00 bez vášho kontextu. Zahrňte účinnú konfiguráciu so všetkými uvedenými súbormi, materiál dôvery a odvolania pod kontrolou vlastníka PKI, priradenia a háčiky jednotlivých klientov a presné verzie balíkov nainštalovaných dnes. Kópia jedného názvu súboru nie je konfigurácia. Uložte ju tam, kam sa pohotovostný operátor dostane bez VPN.

Prístupové kontroly platia aj pre túto sadu, pretože obsahuje súkromné kľúče alebo prihlasovacie údaje backendu. Nebudujte CA znova ani znovu nevydávajte identity len preto, že sa zmenila verzia balíka.

Vyskúšajte to na pilotnom poslucháči so skutočným klientom

Spustite kandidátske vydanie na samostatnom poslucháči s vlastným plánom portov a adries, nie vedľa produkčnej inštancie na tom istom sockete. Pripojte sa klientmi, ktoré vaši používatelia skutočne používajú, vrátane toho nepohodlného. Skontrolujte prideľovanie adries, posúvaný DNS, jednu dôležitú aplikáciu a jednu cestu, ktorá má zostať zablokovaná. Vlastné háčiky musia bežať v skutočnom kontexte oprávnení a súborového systému služby, pretože root shell o nich nič nedokazuje.

Čítajte poznámky k vydaniu kvôli zmenám správania, nielen kvôli novým funkciám. Predvolené nastavenia šifier a TLS sa medzi verziami posúvajú a profil, ktorý sa ešte parsuje, môže stále zlyhať pri handshake. Ak aktualizácia vyžaduje zmeny profilu alebo certifikátu, pripravte ich ako samostatný krok, namiesto zabalenia do aktualizácie balíka.

Prepnite raz, z cesty mimo tunela

Okno začnite z konzoly alebo zo siete správy, ktorá neprechádza cez službu. Potvrďte, že používatelia boli informovaní a že druhý operátor vie, ako vrátiť zmenu. Použite pripravenú zmenu cez jej vlastníka, potom reštartujte pomocou sudo systemctl restart [email protected] a sledujte denník pomocou journalctl -u openvpn-server@office -b -f. Opätovné načítanie stačí, keď sa zmenili len definície jednotky; zmenený profil vyžaduje reštart procesu.

Očakávajte, že sa každý klient znova pripojí, a že niektoré relácie aplikácií nebudú pokračovať. Zladte čistú pauzu so záťažami, ktoré to neznesú.

Prijmite alebo vráťte, potom povedzte používateľom, čo sa zmenilo

Prijatie je nové prihlásenie plus skutočná operácia plus obmedzenia, ktoré stále platia. Aktívna jednotka a zelený riadok stavu sú len procesné fakty. Ak kritériá v okne zlyhajú, vráťte zmenu pripravenou metódou, nie obnovením jedného súboru a nádejou; zmenený binárny súbor alebo politika služby prežije obnovu konfigurácie. Zachovajte akékoľvek odvolanie alebo zmenu autorizácie vykonanú v okne, aby vrátenie nezrušilo bezpečnostnú prácu.

Zapíšte verzie, zmeny profilu a výsledky prijatia pre ďalšieho operátora, vyraďte pilotný poslucháč a povedzte používateľom, ktorý profil majú teraz používať. Okno, ktoré sa skončí bez tejto poznámky, sa pri ďalšej aktualizácii znovu otvorí.