Planifikimi i një dritareje mirëmbajtjeje për OpenVPN pa humbur hostin

Rinisja e shërbimit VPN përfundon çdo sesion që e përdor, prandaj dritarja duhet ndërtuar rreth bisedave dhe jo rreth menaxherit të paketave. Përdoruesve u duhet njoftim i mjaftueshëm për të përfunduar punë të ndjeshme, dhe juve ju duhet një rrugë kthimi që nuk varet nga tuneli që po ndaloni. Çdo gjë tjetër në udhëzues ekziston për t'i bërë këto dy fakte të menaxhueshme. Kapërceni njërën prej tyre dhe një përditësim rutinë bëhet ndërprerje pa dalje.

Rendi më poshtë është i qëllimshëm: çdo fazë prodhon diçka që fazës tjetër i nevojitet, dhe çdo fazë mund ta përfundojë ndryshimin para se të fillojë.

Kap shërbimin që ekziston përpara se ta ndryshosh

Lexo njësinë e instaluar, jo atë që mendon se ke shkruar: systemctl cat [email protected] printon njësinë dhe çdo drop-in, dhe systemctl show [email protected] -p ExecStart -p User -p WorkingDirectory tregon çfarë ekzekutohet në të vërtetë dhe si kush. Pyet binarin që emërton njësia, sepse openvpn --version nga një shell mund të tregojë një ndërtim tjetër. Regjistro shtegun e profilit dhe çdo skedar që ai referon.

Vër re edhe soketat që dëgjojnë: ss -lunp | grep 1194 thotë cilin adresë dhe protokoll daemoni zotëron sot. Nëse përgjigjja nuk është ajo që sugjeron profili, një drop-in ose një skedar mjedisi po e mbivendos, dhe përditësimi do ta trashëgojë atë surprizë.

Mblidh një grup rikuperimi që dikush tjetër mund ta përdorë

Grupi i rikuperimit duhet të jetë i përdorshëm nga një koleg në 03:00 pa kontekstin tuaj. Përfshij konfigurimin efektiv me çdo skedar të referuar, materialin e besimit dhe të shfuqizimit nën kontrollin e pronarit të PKI, caktimet dhe grepat për çdo klient, dhe versionet e sakta të paketave të instaluara sot. Një kopje e një emri skedari nuk është konfigurim. Ruaje diku ku operatori i thirrjes mund ta arrijë pa VPN.

Kontrollet e aksesit vlejnë edhe për atë grup, sepse përmban çelësa privatë ose kredenciale backend. Mos e rindërto CA-në dhe mos lësho identitete të reja vetëm sepse ndryshoi versioni i paketës.

Ushtrohu në një dëgjues pilot me një klient të vërtetë

Ekzekuto lëshimin kandidat në një dëgjues të veçantë me planin e vet të portave dhe adresave, jo pranë instancës së prodhimit në të njëjtin soket. Lidhu me motorët e klientëve që përdoruesit tuaj ekzekutojnë vërtet, përfshirë atë të vështirin. Kontrollo caktimin e adresave, DNS-në e shtyrë, një aplikacion që ka rëndësi dhe një rrugë që duhet të mbetet e bllokuar. Grepat e personalizuar duhet të ekzekutohen në kontekstin real të privilegjeve dhe sistemit të skedarëve të shërbimit, sepse një shell root nuk provon asgjë për ta.

Lexo shënimet e lëshimit për ndryshime sjelljeje, jo vetëm për veçori të reja. Parazgjedhjet e shifrimit dhe TLS lëvizin midis versioneve, dhe një profil që ende analizohet mund ende të dështojë një handshake. Nëse përditësimi kërkon ndryshime profili ose certifikate, përgatiti si hap më vete në vend që t'i bashkosh me përditësimin e paketës.

Kaloni një herë, nga një rrugë jashtë tunelit

Filloni dritaren nga një konsolë ose një rrjet menaxhimi që nuk kalon nëpër shërbim. Konfirmo që përdoruesit u njoftuan dhe se një operator i dytë di të kthejë mbrapsht. Zbato ndryshimin e përgatitur përmes pronarit të tij, pastaj rinis me sudo systemctl restart [email protected] dhe ndiq ditarin me journalctl -u openvpn-server@office -b -f. Një rimbushje mjafton kur ndryshuan vetëm përkufizimet e njësisë; një profil i ndryshuar kërkon rinisjen e procesit.

Prit që çdo klient të rilidhet dhe që disa sesione aplikacioni të mos rifillojnë. Koordinoni një pauzë të pastër me ngarkesat që nuk e durojnë atë.

Prano ose kthe mbrapsht, pastaj thuaju përdoruesve çfarë ndryshoi

Pranimi është një identifikim i ri plus një veprim real plus kufizimet ende në fuqi. Një njësi aktive dhe një rresht i gjelbër statusi janë fakte procesi. Nëse kriteret dështojnë brenda dritares, ktheje mbrapsht me metodën e përgatitur, jo duke rikthyer një skedar të vetëm dhe duke shpresuar; një binar ose politikë shërbimi e ndryshuar i mbijeton një rikthimi konfigurimi. Ruaj çdo shfuqizim ose ndryshim autorizimi të bërë gjatë dritares, që kthimi mbrapsht të mos zhbëjë punën e sigurisë.

Regjistro versionet, ndryshimet e profilit dhe rezultatet e pranimit për operatorin e radhës, tërhiq dëgjuesin pilot dhe thuaju përdoruesve cilin profil të përdorin tani. Një dritare që mbaron pa atë shënim rikthehet në diskutim në përditësimin tjetër.