Pot naprave OpenVPN: lastnik konfiguracije ali zagonska skripta?
Pot podružnice, ki preživi en ponovni zagon, lahko po shranjevanju v GUI ali posodobitvi strojne programske opreme vseeno izgine. Primerjajte podprtega lastnika konfiguracije z zakrpno skripto.
Dodate pot podružnice, deluje, nato pa jo posodobitev strojne programske opreme ali shranjevanje iz spletnega vmesnika odstrani. Dve popravili se v tistem trenutku zdita enako smiselni: pot vstaviti v podprti vir konfiguracije naprave ali jo dodati ustvarjeni datoteki iz zagonske skripte. En teden se obnašata enako in se pri drugi nadgradnji razideta. Ta članek primerja, kaj vsaka od njiju dejansko poseduje.
Kandidata posedujeta različne stvari
Podprti vir konfiguracije je vse, kar naprava obravnava kot vhod: polje v GUI, uvoženi profil, dokumentirana mapa za vsakega odjemalca, baza nastavitev, ki jo bere paket za upravljanje. Ustvarjena server.conf je izhod. Urejanje izhoda deluje, dokler se generator ne zažene znova, to pa se zgodi pri shranjevanju, pri ponovnem zagonu in pri nadgradnji.
Pristop s skripto zakrpa ta izhod po končanem generatorju. To je legitimna tehnika za laboratorij in napačna privzeta vrednost za podružnico, ker naredi pot odvisno od ujemanja besedila namesto od dokumentiranega polja.
| Question | Supported config source | Post-generation script |
|---|---|---|
| Survives a GUI save | Yes | Only if the save does not regenerate the file |
| Survives a package upgrade | Usually, when the field is documented | No guarantee; the wrapper can be replaced |
| Supportable by the vendor | Yes | No |
| Obvious to the next admin | Yes, it is in the UI | No, it lives in a wrapper |
Kaj naprava obnovi in kdaj
Paketi za upravljanje običajno hranijo nastavitve v bazi ali naboru predlog in ob zagonu ustvarijo konfiguracijo demona. Shranjevanje iz spletnega vmesnika pogosto prepiše celo datoteko, namesto da bi zakrpalo eno vrstico. Če je vaša sprememba živela v tej datoteki, je zdaj ni več, in nič ne zabeleži opozorila, ker z vidika naprave ni bilo nič izgubljeno.
Zagonski ovoji imajo drug način odpovedi. grep za direktivo z določenim razmikom se po spremembi predloge ne ujema več, skripta pa tiho ne naredi ničesar. Še huje, posodobitev strojne programske opreme lahko ovoj zamenja z novo različico in odnese popravek s seboj. Takrat imate pot, ki je obstajala leto in je izginila med vzdrževanjem, ki ga nihče ni povezal z usmerjanjem.
Kaj mora podprti lastnik izraziti
Predpona podružnice potrebuje tri izjave, ne ene. Odjemalec se mora naučiti pot, strežnik mora vedeti, kateri overjeni odjemalec ima predpono, in stran podružnice mora vrniti promet na naslov tunela, ki ga je dobila. V izrazih OpenVPN to pomeni potisnjeno route, ustrezno iroute, vezano na odjemalca, in povratno pot na drugi strani.
Tu vmesniki naprav zavajajo. Potrditveno polje z oznako »dovoli odjemalcem dostop do LAN strežnika« opisuje promet proti lastnemu omrežju strežnika. Vaša podružnica je nasprotna smer: omrežje za enim odjemalcem, dosegljivo s strani strežnika. Ista oznaka ne pomeni podpore za to, in veljavna direktiva v datoteki ni obljuba, da jo bo paket ohranil.
Ko ni podprtega nadzora
Včasih nameščena izdaja res ne more izraziti poti, specifične za partnerja. Takrat so poštene možnosti druga prehodna postaja, ki jo nadzorujete, ali podprt način mesto-do-mesta na obeh koncih. Oba konca ga morata govoriti. Stran izdelka, ki reče mesto-do-mesta, ne naredi poljubnega profila OpenVPN zamenljivega s tunelom drugega protokola, in vsiljevanje tega para običajno ustvari na pol povezan tunel, ki je na statusni strani videti dobro.
Izberite možnost, ki jo lahko opišete v enem stavku temu, ki bo omrežje podedoval. Če odgovor zahteva omenjanje poti skripte in besedilnega vzorca, je zasnova že krhka.
Naredite namero revizijsko sledljivo
Zabeležite pogodbo zunaj naprave: dejanska identiteta odjemalca, predpona, povratna prehodna postaja in podprto polje, ki zagotavlja vsako od njih. Izvozite konfiguracijo s podprtim mehanizmom, da ima ponovna gradnja referenco, in preverite storitev po ponovni povezavi, ponovnem zagonu in nadgradnji, ne le po spremembi.
Ko se kaj pokvari, primerjajte ustvarjeni rezultat s tem zapisom, namesto da obnovite nerazloženo vrstico in upate.referenco OpenVPN 2.6 je mesto, kjer pred prepirom z vmesnikom potrdite, kako route in iroute delujeta skupaj.
Kontrolni seznam za naslednjo spremembo: poimenujte lastnika, navedite tridelno pogodbo, izvozite namero in znova preizkusite po lastnih dogodkih življenjskega cikla naprave, ne po svojem urejanju.