OpenVPN Access Server: рестартовати демона или применити подешавање

Две команде се лепе за оно што изгледа као исти посао на OpenVPN Access Server, а раде различите ствари. systemctl restart openvpnas зауставља и покреће цео производ. sacli start подиже интерне сервисе који читају конфигурацију коју сте управо променили. Избор између њих није ствар укуса: зависи од тога шта каже документација самог подешавања, да ли ваша сесија пролази кроз сервер који ћете рестартовати и да ли уопште гледате прави производ.

Два слоја, један демон

Access Server ради као једна systemd јединица, openvpnas, и тај демон надгледа интерне сервисе иза веб интерфејса и VPN слушаоце. sacli је интерфејс командне линије ка истој инсталацији, на /usr/local/openvpn_as/scripts/sacli, и може да покрене, заустави и испита те интерне компоненте без замене јединице.

Зато постоје обе команде. Рестарт демона извршава све изнова, укључујући процес који прекида клијентске тунеле. sacli start тражи од већ покренутог демона да подигне своје компоненте како би прочитале нову конфигурацију, и то је оно што већина промена својстава заиста захтева.

Услов први: шта каже документација подешавања

Читајте страницу подешавања које сте променили, не оног које сте мењали прошлог месеца. После својства записаног кроз ConfigPut обично следи sacli start, и тај пар је документовани корак примене. Промена понашања на нивоу слушаоца, или било шта што страница описује као захтев за рестарт сервиса, је класа у којој је рестарт јединице исправан.

Две команде нису заменљиве, па је начин грешке код нагађања асиметричан. Коришћење sacli start када је био потребан потпун рестарт оставља стари процес да још служи претходну конфигурацију, што изгледа као да је подешавање занемарено. Потпун рестарт када би sacli start био довољан избацује сваког повезаног клијента без разлога.

Услов други: да ли је ваша сесија унутар тунела

Ако администрирате Access Server преко VPN-а који он пружа, рестарт уклања везу која носи ваш shell. Команда се може довршити након што ваша сесија умре, па нагађате да ли је успела. sacli start такође може накратко прекинути сесију из истог разлога када компонента која се рестартује обрађује ваш саобраћај.

Држите отворен ванпојасни пут пре било које команде: конзолу провајдера, конзолу хипервизора или серијску сесију. Овај услов одлучује када извршавате команду, а не коју команду, и он претвара промену од два минута у извештај о прекиду.

Услов трећи: да ли је то производ који мислите

Access Server није Community OpenVPN. Заједничка инсталација покреће јединице попут openvpn@server или openvpn-client@profile, са конфигурацијом у /etc/openvpn, и sacli тамо не постоји. Рестартовање сваке јединице са openvpn у имену на дељеном хосту начин је на који неповезани тунели падају заједно.

Утврдите пре него што било шта дотакнете: systemctl status openvpnas --no-pager одговара да ли Access Server ради, sacli status наводи његове интерне компоненте, а systemctl list-units --type=service наводи јединице чија имена садрже openvpn. Ако последња команда показује јединице са именима профила, на Community сте производу и остатак овога се на вас не односи.

Примените, па проверите даље од active

Јединица која извештава active има процес који ради, што није исто што и радна путања аутентификације. Након корака примене проверите sacli status за компоненте које сте очекивали да ће се рестартовати, потврдите да је вредност сачувана кроз sacli ConfigQuery, па покрените једно ограничено пријављивање клијента на тестни налог.

Завршите нечим на нивоу апликације: дођите до приватног ресурса кроз тунел, а не само ping на јавну адресу сервера. Руковање које успе док су рута или DNS подешавање погрешни проћи ће сваку проверу сервиса и ипак изневерити особу која је пријавила проблем.

упутство провајдера за управљање сервисима је референца за то које операције припадају sacli, и вреди га отворити пре него што закључите да је рестарт безбедна опција.

Одлука у једном пролазу

Прођите кроз ова четири реда и зауставите се на првом који се поклапа:

• Страница подешавања наводи sacli start, или сте управо извршили ConfigPut: користите sacli start.
• Страница захтева рестарт, или промена дира слушаоце, а не својства: користите systemctl restart openvpnas.
• Ваш shell долази кроз овај сервер: прво обезбедите приступ конзоли, па извршите команду коју су одабрала два реда изнад.
• Провера: sacli status, ConfigQuery за вредност, једна пријава, један приватни ресурс. Само стање сервиса није циљна линија.

Два су од тих редова провере, а два радње, и то је поента редоследа. Ако не можете да одговорите на питање о производу, станите: команда коју сте хтели да извршите припада другој инсталацији, а тунел који оборите неће бити онај који сте мислили.