Od Access Serverja do Community OpenVPN: kaj je treba znova zgraditi

Access Server in Community OpenVPN govorita isti protokol in skoraj nič drugega na enak način. Roka, pogajanja o šifrah in podatkovna ravnina tunela so združljivi, zato se odjemalec pogosto poveže z obema brez urejanja profila. Razlika je v tem, kdo ima v lasti konfiguracijo: en izdelek prinese upravljalni sloj, ki piše in uveljavlja politiko, drugi vam da konfiguracijsko datoteko in nabor kljuk ter pričakuje, da boste odločili sami.

Ta razlika je načrt selitve. Vse, kar je stari izdelek odločil v vašem imenu, mora postati izrecna odločitev nekje v novi postavitvi.

Kjer obe postavitvi prenehata biti zamenljivi

V Access Serverju je spletni upravljalni vmesnik lastnik uporabnikov, skupin, dovoljenj na uporabnika, izdajanja potrdil in paketa profila, ki ga človek prenese. Demona pod njim konfigurira ta sloj, zato je delujoča storitev rezultat shranjenega stanja, ki ga redko urejate ročno. V Community OpenVPN je konfiguracijska datoteka stanje: imenuje poslušalca, potrditveni organ, kljuko za preverjanje pristnosti in vsako potisnjeno možnost, in nič je ne prepiše namesto vas. Isti stroj TLS torej stoji pod dvema zelo različnima modeloma lastništva.

Kratek zemljevid naredi vrzel konkretno. Uporabniki in skupine obstajajo samo v stari bazi, dokler jih znova ne ustvarite. Paketi profila postanejo konfiguracijska datoteka in potrdila, ki jih razdeljujete sami. Dovoljenja na uporabnika postanejo direktive v client-config-dir. Upravljalni vmesnik postane proces, ki ga izberete za izdajanje potrdil in urejanje datotek.

Zapišite ta zemljevid, preden se dotaknete strežnika. Vsaka vrstica, ki je ne morete izpolniti, je funkcija, ki jo boste pravkar izgubili, in tiho izgubljanje je pot, po kateri selitev dva tedna pozneje postane izpad.

Identiteta se ne prenese s potrdili

Potrdila starega organa se lahko v novi storitvi pravilno razčlenijo in so še vedno napačna identiteta, ker jih je stari izdelek paril s stanjem računa, ki ga nova storitev ne vidi. Najprej odločite, ali nova postavitev preverja pristnost samo s potrdilom, z vtičnikom, ki doseže PAM ali RADIUS, ali s kombinacijo, nato preverite, ali vsaka možnost ohranja lastnosti, ki jih potrebujete. Skupno potrdilo brez identitete na uporabnika je ena poverilnica za vse, ki ga imajo. Preklic mora delovati od prvega dne, kar v Community OpenVPN pomeni datoteko CRL, na katero se sklicuje crl-verify, in proces, ki jo znova ustvari.

Načrtujte vpis pred prehodom, ne po njem. Nova potrdila, preizkušena pot preklica in dokumentiran način, kako onemogočiti eno osebo, so predpogoji, ne poznejše delo. Če je večfaktorska avtentikacija prišla iz integracije starega izdelka, izrecno navedite zamenjavo, ker vtičnik, ki ni nameščen, odpove zaprt v najslabšem trenutku.

Usmerjanje in razreševanje imen sledita piscu konfiguracije

Poti, nastavitve DNS in vedenje polnega tunela so potisnjene možnosti v obeh izdelkih, a le eden jih izračuna namesto vas. V Community OpenVPN sami pišete direktive push, odločite, ali redirect-gateway pripada strežniku ali odjemalcu, in potrdite, da na gostitelju obstajata posredovanje in NAT. Zaključen rokovanje vam ne pove nič o posredovanju, prevajanju naslovov ali poteh, ki jih je odjemalec dejansko prejel.

Vedenje na odjemalca zahteva client-config-dir in datoteko, imenovano po common name potrdila odjemalca, par od lokacije do lokacije pa zahteva vnose iroute za predpone za njim. Če je ime napačno, se možnosti prezrejo brez napake. Preizkusite z enim neprodukcijskim odjemalcem v njegovem lastnem naboru naslovov, nato preberite dodeljeni naslov, prejete poti in nastavitve razreševalnika, s katerimi je končal.

Zaporedite prehod tako, da se stara storitev lahko vrne

Zaženite novega poslušalca na drugih vratih ali naslovu in pustite staremu, da služi prometu, medtem ko dokazujete zamenjavo. Dva demona na isti vtičnici nista načrt vrnitve.

Premaknite eno skupino naenkrat, z njenimi potrdili, njenim naborom in njenimi potmi, in vadite pot vrnitve, namesto da bi jo odkrili med incidentom. Vrnitev, ki deluje le, če najprej ustavite novo storitev, je še vedno vrnitev, a jo je treba preizkusiti, ko nič ne gori.

Na koncu naštejte funkcije brez neposrednega ustreznika in usodo vsake odločite pisno: samopostrežni prenos profila, zastavice dovoljenj na uporabnika, sam upravljalni vmesnik, poročanje o povezavah v živo. Zamenjava z dokumentiranim ročnim postopkom je legitimna odgovor. Pustiti vrstico prazno ni.

Delo je končano, ko se oseba, ki starega portala ni nikoli videla, lahko vpiše, poveže, doseže predvideni notranji naslov in je čisto preklicana. Vse pred tem je priprava.