Рута уређаја OpenVPN: власник конфигурације или скрипта за покретање?
Огранак рута која преживи једно поновно покретање ипак може нестати после чувања у GUI-ју или ажурирања фирмвера. Упоредите подржани власник конфигурације са скриптом за закрпе.
Додате огранку руту, она ради, а затим је ажурирање фирмвера или чување из веб интерфејса уклони. Два исправка у том тренутку изгледају једнако разумно: ставити руту у подржани извор конфигурације уређаја или је додати генерисаном фајлу из скрипте за покретање. Они се недељу дана понашају исто и разилазе се при другом ажурирању. Овај чланак пореди шта сваки од њих заиста поседује.
Два кандидата поседују различите ствари
Подржани извор конфигурације је све што уређај третира као улаз: поље у GUI-ју, увезени профил, документовани директоријум по клијенту, база подешавања коју чита пакет за управљање. Генерисани server.conf је излаз. Уређивање излаза ради док се генератор поново не покрене, а то се дешава при чувању, при поновном покретању и при ажурирању.
Приступ са скриптом крпи тај излаз након што генератор заврши. То је легитимна техника за лабораторију и погрешан подразумевани избор за огранку канцеларију, јер руту чини зависном од поклапања текста, а не од документованог поља.
| Question | Supported config source | Post-generation script |
|---|---|---|
| Survives a GUI save | Yes | Only if the save does not regenerate the file |
| Survives a package upgrade | Usually, when the field is documented | No guarantee; the wrapper can be replaced |
| Supportable by the vendor | Yes | No |
| Obvious to the next admin | Yes, it is in the UI | No, it lives in a wrapper |
Шта уређај регенерише и када
Пакети за управљање обично држе подешавања у бази података или скупу шаблона и генеришу конфигурацију демона при покретању. Чување из веб интерфејса често преписује цео фајл уместо да закрпи један ред. Ако је ваша измена живела у том фајлу, сада је нема, и ништа не бележи упозорење, јер са становишта уређаја ништа није изгубљено.
Омотачи за покретање имају други режим отказа. grep за директиву са одређеним размаком престаје да се поклапа после измене шаблона, а скрипта тихо не ради ништа. Још горе, ажурирање фирмвера може заменити омотач новом верзијом и однети закрпу са собом. Тада имате руту која је постојала годину и нестала током одржавања које нико није повезао са рутирањем.
Шта подржани власник мора да изрази
Префикс огранка захтева три изјаве, не једну. Клијент мора да научи руту, сервер мора да зна који аутентификовани клијент поседује префикс, а страна огранка мора да врати саобраћај на адресу тунела која му је дата. У терминима OpenVPN то значи послати route, одговарајући iroute везан за клијента, и повратну путању на другој страни.
Ту интерфејси уређаја заводе. Поље за потврду са ознаком „дозволи клијентима приступ LAN-у сервера“ описује саобраћај ка сопственој мрежи сервера. Ваш огранак је супротан смер: мрежа иза једног клијента, доступна са серверске стране. Иста ознака не подразумева подршку за то, а важећа директива у фајлу није обећање да ће је пакет сачувати.
Када нема подржане контроле
Понекад инсталирано издање заиста не може да изрази руту специфичну за партнера. Тада су искрене опције други гејтвеј који контролишете, или подржани режим од локације до локације на оба краја. Оба краја морају то да говоре. Страница производа која каже од локације до локације не чини произвољан OpenVPN профил заменљивим са тунелом другог протокола, а форсирање тог пара обично даје полуповезан тунел који добро изгледа на страници статуса.
Изаберите опцију коју можете описати једном реченицом ономе ко наследи мрежу. Ако одговор захтева да се помене путања скрипте и текстуални образац, дизајн је већ крхак.
Учините намеру проверљивом
Забележите уговор изван уређаја: ефективни идентитет клијента, префикс, повратни гејтвеј и подржано поље које обезбеђује свако од њих. Извезите конфигурацију кроз подржани механизам да би поновна изградња имала референцу, и проверите услугу после поновног повезивања, рестарта и ажурирања, а не само после измене.
Када се нешто поквари, упоредите генерисани резултат са тим записом, уместо да вратите необјашњен ред и надате се.референца за OpenVPN 2.6 је место где потврђујете како route и iroute делују заједно пре него што се свађате са интерфејсом.
Контролна листа за следећу измену: именујте власника, наведите троделни уговор, извезите намеру, и поново тестирајте после сопствених догађаја животног циклуса уређаја, а не после вашег уређивања.