Од Access Server-а до Community OpenVPN-а: шта треба поново изградити

Access Server и Community OpenVPN говоре исти протокол и готово ништа друго на исти начин. Руковање, преговарање о шифрама и податна раван тунела су компатибилни, па клијент често може да се повеже на оба без измене профила. Разлика је у томе коме припада конфигурација: један производ испоручује слој управљања који пише и спроводи политику, а други вам даје конфигурациону датотеку и скуп кука и очекује да одлучите сами.

Та разлика је план миграције. Све што је стари производ одлучио у ваше име мора постати изричита одлука негде у новом постављању.

Где две инсталације престају да буду заменљиве

У Access Server-у, веб интерфејс за администрацију поседује кориснике, групе, дозволе по кориснику, издавање сертификата и пакет профила који особа преузима. Демон испод конфигурише тај слој, па је услуга која ради резултат сачуваног стања које ретко уређујете ручно. У Community OpenVPN конфигурациона датотека јесте стање: именује слушаоца, установу за сертификате, куку за аутентификацију и сваку гурнуту опцију, и ништа је не преписује уместо вас. Исти TLS механизам тако стоји под два веома различита модела власништва.

Кратко мапирање чини јаз конкретним. Корисници и групе постоје само у старој бази док их поново не направите. Пакети профила постају конфигурациона датотека плус сертификати које сами дистрибуирате. Дозволе по кориснику постају директиве у client-config-dir. Административни интерфејс постаје било који процес који изаберете за издавање сертификата и уређивање датотека.

Запишите то мапирање пре него што дотакнете сервер. Сваки ред који не можете да попуните је функција коју ћете управо изгубити, а тихи губитак је начин на који миграција постаје испад две недеље касније.

Идентитет се не преноси са датотекама сертификата

Сертификати старе установе могу се исправно парсирати у новој услузи и ипак бити погрешан идентитет, јер их је стари производ спајао са стањем налога које нови не види. Најпре одлучите да ли ново постављање аутентификује само сертификатом, додатком који досеже PAM или RADIUS, или комбинацијом, па проверите да свака опција чува својства која су вам потребна. Заједнички сертификат без идентитета по кориснику једна је акредитација за све који га имају. Опозив мора да ради од првог дана, што у Community OpenVPN значи CRL датотеку на коју упућује crl-verify плус процес који је поново генерише.

Планирајте упис пре преласка, а не после. Нови сертификати, испробана стаза опозива и документован начин да онемогућите једну особу су предуслови, а не посао који следи. Ако је вишефакторска аутентификација дошла из интеграције старог производа, изричито наведите замену, јер додатак који није инсталиран пада затворено у најгорем тренутку.

Усмеравање и разрешавање имена прате онога који пише конфигурацију

Руте, DNS поставке и понашање пуног тунела су гурнуте опције у оба производа, али их само један израчунава за вас. У Community OpenVPN сами пишете push директиве, одлучујете припада ли redirect-gateway серверу или клијенту и потврђујете да на хосту постоје прослеђивање и NAT. Завршено руковање не говори вам ништа о прослеђивању, превођењу адреса ни рутама које је клијент стварно добио.

Понашање по клијенту тражи client-config-dir плус датотеку названу по common name сертификата клијента, а site-to-site пар тражи iroute уносе за префиксе иза себе. Ако је назив погрешан, опције се игноришу без грешке. Тестирајте са једним клијентом ван продукције у његовом сопственом базену адреса, затим прочитајте додељену адресу, добијене руте и поставке разрешивача са којима је завршио.

Поређајте прелазак тако да стара услуга може да се врати

Покрените нови слушалац на другом порту или адреси и држите стари да служи саобраћај док доказујете замену. Два демона на истом сокету нису план враћања.

Премештајте једну групу одједном, са њеним сертификатима, њеним базеном и њеним рутама, и увежбајте пут повратка уместо да га откријете током инцидента. Враћање које ради само ако се нова услуга прво заустави и даље је враћање, али мора се испробати док ништа не гори.

На крају попишите функције без директног еквивалента и одлучите судбину сваке написано: преузимање профила у самопослузи, заставице дозвола по кориснику, сам административни интерфејс, извештавање о везама уживо. Замена документованим ручним процесом је легитиман одговор. Остављање реда празним није.

Посао је готов када корисник који никада није видео стари портал може да се упише, повеже, дође до предвиђене интерне адресе и буде чисто опозван. Све пре тога је припрема.