Rruga e pajisjes OpenVPN: pronari i konfigurimit apo skripti i nisjes?
Një rrugë dege që mbijeton një rinisje mund të zhduket gjithsesi pas një ruajtjeje në GUI ose një përditësimi të firmuerit. Krahasoni pronarin e konfigurimit të mbështetur me një skript patch.
Shtoni një rrugë dege, funksionon, dhe më pas një përditësim firmware ose një ruajtje nga ndërfaqja web e heq atë. Dy rregullime duken njësoj të arsyeshme në atë moment: ta vendosni rrugën në burimin e konfigurimit të mbështetur të pajisjes, ose t’i shtoni skedarit të gjeneruar nga një skript nisjeje. Ato sillen njësoj për një javë dhe ndahen në përditësimin e dytë. Ky artikull krahason se çfarë zotëron në të vërtetë secili.
Dy kandidatët zotërojnë gjëra të ndryshme
Burimi i konfigurimit të mbështetur është gjithçka që pajisja trajton si hyrje: një fushë GUI, një profil i importuar, një drejtori e dokumentuar për çdo klient, një bazë të dhënash cilësimesh që lexon paketa e menaxhimit. server.conf i gjeneruar është dalje. Redaktimi i daljes funksionon derisa gjeneratori të ekzekutohet përsëri, dhe kjo ndodh gjatë ruajtjes, gjatë rinisjes dhe gjatë përditësimit.
Qasja me skript bën patch në atë dalje pasi gjeneratori të mbarojë. Është një teknikë legjitime për një laborator, dhe është parazgjedhja e gabuar për një zyrë dege, sepse e bën rrugën të varur nga përputhja e tekstit në vend të një fushe të dokumentuar.
| Question | Supported config source | Post-generation script |
|---|---|---|
| Survives a GUI save | Yes | Only if the save does not regenerate the file |
| Survives a package upgrade | Usually, when the field is documented | No guarantee; the wrapper can be replaced |
| Supportable by the vendor | Yes | No |
| Obvious to the next admin | Yes, it is in the UI | No, it lives in a wrapper |
Çfarë rigjeneron pajisja, dhe kur
Paketat e menaxhimit zakonisht i mbajnë cilësimet në një bazë të dhënash ose në një grup shabllonash dhe gjenerojnë konfigurimin e daemonit në nisje. Një ruajtje nga ndërfaqja web shpesh rishkruan të gjithë skedarin në vend që të bëjë patch në një rresht. Nëse ndryshimi juaj jetonte në atë skedar, tani ka ikur, dhe asgjë nuk regjistron një paralajmërim, sepse nga këndvështrimi i pajisjes asgjë nuk u humb.
Mbështjellësit e nisjes kanë një modalitet të dytë dështimi. Një grep për një direktivë me hapësirë të caktuar ndalon së përputhuri pas një ndryshimi shablloni, dhe skripti në heshtje nuk bën asgjë. Më keq, një përditësim firmware mund të zëvendësojë mbështjellësin me një version të ri, duke marrë patch-in me vete. Atëherë keni një rrugë që ekzistonte për një vit dhe u zhduk gjatë mirëmbajtjes që askush nuk e lidhi me rrugëzimin.
Çfarë duhet të shprehë pronari i mbështetur
Një prefiks dege kërkon tre deklarata, jo një. Klienti duhet të mësojë rrugën, serveri duhet të dijë cili klient i vërtetuar zotëron prefiksin, dhe ana e degës duhet ta kthejë trafikun në adresën e tunelit që iu dha. Në termat e OpenVPN kjo do të thotë një route i shtyrë, një iroute përputhës i lidhur me klientin, dhe një rrugë kthimi në anën tjetër.
Këtu ndërfaqet e pajisjeve mashtrojnë. Një kuti kontrolli e etiketuar «lejo klientët të hyjnë në LAN-in e serverit» përshkruan trafik drejt rrjetit vetjak të serverit. Dega juaj është drejtimi i kundërt: një rrjet prapa një klienti, i arritshëm nga ana e serverit. E njëjta etiketë nuk nënkupton mbështetje për këtë, dhe një direktivë e vlefshme në një skedar nuk është premtim që paketa do ta ruajë atë.
Kur nuk ekziston asnjë kontroll i mbështetur
Ndonjëherë versioni i instaluar vërtet nuk mund të shprehë një rrugë specifike për një palë. Atëherë opsionet e ndershme janë një portë tjetër që ju kontrolloni, ose një modalitet sajt-ndaj-sajti i mbështetur në të dy skajet. Të dy skajet duhet ta flasin. Një faqe produkti që thotë sajt-ndaj-sajti nuk e bën një profil arbitrar OpenVPN të këmbyeshëm me tunelin e një protokolli tjetër, dhe forcimi i atij çifti zakonisht prodhon një tunel gjysmë i lidhur që duket mirë në një faqe statusi.
Zgjidhni opsionin që mund ta përshkruani me një fjali atij që do të trashëgojë rrjetin. Nëse përgjigja kërkon të përmendë një shteg skripti dhe një model teksti, dizajni është tashmë i brishtë.
Bëjeni qëllimin të auditueshëm
Regjistroni kontratën jashtë pajisjes: identiteti efektiv i klientit, prefiksi, porta e kthimit dhe fusha e mbështetur që siguron secilin. Eksportoni konfigurimin përmes mekanizmit të mbështetur që një rindërtim të ketë referencë, dhe verifikoni shërbimin pas një rilidhjeje, një rinisjeje dhe një përditësimi në vend që vetëm pas ndryshimit.
Krahasoni rezultatin e gjeneruar me atë regjistër kur diçka prishet, në vend që të riktheni një rresht të pashpjeguar dhe të shpresoni.referenca e OpenVPN 2.6 është vendi për të konfirmuar se si ndërveprojnë route dhe iroute përpara se të debatoni me një ndërfaqe.
Listë kontrolli për ndryshimin tjetër: emërtoni pronarin, deklaroni kontratën trepjesëshe, eksportoni qëllimin, dhe ritestoni pas ngjarjeve të ciklit të jetës së vetë pajisjes, jo pas redaktimit tuaj.