Načrtovanje servisnega okna OpenVPN brez izgube gostitelja

Ponovni zagon storitve VPN konča vsako sejo, ki jo uporablja, zato je treba okno zgraditi okoli pogovorov in ne okoli upravitelja paketov. Uporabniki potrebujejo dovolj opozorila, da dokončajo občutljivo delo, vi pa potrebujete pot nazaj, ki ni odvisna od tunela, ki ga boste ustavili. Vse ostalo v priročniku obstaja zato, da sta ti dve dejstvi obvladljivi. Izpustite katero koli od njiju in rutinska posodobitev postane izpad brez izhoda.

Vrstni red spodaj je nameren: vsaka faza ustvari nekaj, kar naslednja faza potrebuje, in vsaka faza lahko spremembo konča, preden se začne.

Zajemite storitev, ki obstaja, preden jo spremenite

Berite nameščeno enoto, ne tiste, za katero mislite, da ste jo napisali: systemctl cat [email protected] izpiše enoto in vse drop-ine, systemctl show [email protected] -p ExecStart -p User -p WorkingDirectory pa pokaže, kaj dejansko teče in kot kdo. Vprašajte dvojiško datoteko, ki jo enota navaja, ker openvpn --version iz lupine lahko kaže na drugo gradnjo. Zapišite pot do profila in vsako datoteko, na katero se sklicuje.

Zabeležite tudi vtičnice, ki poslušajo: ss -lunp | grep 1194 pove, kateri naslov in protokol ima demon danes. Če odgovor ni tisti, ki ga predlaga profil, ga preglasi drop-in ali okoljska datoteka, in nadgradnja bo podedovala to presenečenje.

Sestavite obnovitveni nabor, ki ga lahko uporabi nekdo drug

Obnovitveni nabor mora biti uporaben za sodelavca ob 03:00 brez vašega konteksta. Vključite dejansko konfiguracijo z vsako navedeno datoteko, gradivo zaupanja in preklica pod nadzorom lastnika PKI, dodelitve in kljuke za vsakega odjemalca ter natančne različice paketov, nameščenih danes. Kopija enega imena datoteke ni konfiguracija. Shranite ga tam, kjer lahko dežurni operater doseže brez VPN.

Nadzori dostopa veljajo tudi za ta nabor, ker vsebuje zasebne ključe ali poverilnice zaledja. Ne obnavljajte CA in ne izdajajte identitet znova samo zato, ker se je spremenila različica paketa.

Vadite na pilotnem poslušalcu s pravim odjemalcem

Zaženite kandidatno izdajo na ločenem poslušalcu z lastnim načrtom vrat in naslovov, ne ob produkcijski instanci na isti vtičnici. Povežite se z odjemalskimi pogoni, ki jih vaši uporabniki resnično poganjajo, vključno s tistim nerodnim. Preverite dodeljevanje naslovov, potisnjeni DNS, eno pomembno aplikacijo in eno pot, ki mora ostati blokirana. Kljuke po meri morajo teči v resničnem kontekstu privilegijev in datotečnega sistema storitve, saj root lupina o njih ničesar ne dokaže.

Berite opombe ob izdaji zaradi sprememb vedenja, ne le zaradi novih funkcij. Privzete nastavitve šifer in TLS se med različicami premikajo, profil, ki se še vedno razčleni, pa lahko še vedno ne opravi rokovanja. Če nadgradnja zahteva spremembe profila ali potrdila, jih pripravite kot ločen korak, namesto da jih vključite v posodobitev paketa.

Preklopite enkrat, s poti zunaj tunela

Okno začnite s konzole ali iz upravljalnega omrežja, ki ne gre skozi storitev. Potrdite, da so bili uporabniki obveščeni in da drugi operater zna razveljaviti spremembo. Uporabite pripravljeno spremembo prek njenega lastnika, nato znova zaženite z sudo systemctl restart [email protected] in spremljajte dnevnik z journalctl -u openvpn-server@office -b -f. Ponovno nalaganje zadošča, ko so se spremenile le definicije enote; spremenjen profil zahteva ponovni zagon procesa.

Pričakujte, da se bo vsak odjemalec znova povezal, in da se nekatere aplikacijske seje ne bodo nadaljevale. Uskladite čisto pavzo z obremenitvami, ki tega ne prenesejo.

Sprejmite ali razveljavite, nato povejte uporabnikom, kaj se je spremenilo

Sprejem je nova prijava plus resnična operacija plus omejitve, ki še veljajo. Aktivna enota in zelena vrstica stanja so le dejstva procesa. Če merila v oknu odpovedo, razveljavite s pripravljeno metodo, ne z obnovitvijo ene datoteke in upanjem; spremenjena dvojiška datoteka ali politika storitve preživi obnovitev konfiguracije. Ohranite vsak preklic ali spremembo pooblastila, opravljeno med oknom, da razveljavitev ne izniči varnostnega dela.

Zapišite različice, spremembe profila in izide sprejema za naslednjega operaterja, upokojite pilotni poslušalec in povejte uporabnikom, kateri profil naj zdaj uporabljajo. Okno, ki se konča brez te opombe, se ob naslednji posodobitvi znova obravnava.