Планирање прозора одржавања OpenVPN-а без губитка хоста

Поновно покретање VPN услуге завршава сваку сесију која је користи, па се прозор мора градити око разговора, а не око менаџера пакета. Корисницима треба довољна најава да доврше осетљив рад, а вама треба пут назад који не зависи од тунела који ћете зауставити. Све остало у приручнику постоји да та две чињенице учини савладивим. Прескочите било коју од њих и рутинско ажурирање постаје прекид без излаза.

Редослед у наставку је намеран: свака фаза даје нешто што следећа фаза треба, и свака фаза може завршити промену пре него што почне.

Забележите услугу која постоји пре него што је промените

Читајте инсталирану јединицу, а не ону коју мислите да сте написали: systemctl cat [email protected] исписује јединицу и све drop-in-ове, а systemctl show [email protected] -p ExecStart -p User -p WorkingDirectory показује шта се стварно извршава и као кога. Питајте бинарну датотеку коју јединица наводи, јер openvpn --version из љуске може показивати на другу градњу. Забележите путању профила и сваку датотеку на коју се позива.

Забележите и утичнице које слушају: ss -lunp | grep 1194 говори која адреса и протокол данас припадају демону. Ако одговор није онај који профил сугерише, drop-in или датотека окружења га надјачава, а надоградња ће наследити то изненађење.

Саставите сет за опоравак који неко други може да користи

Сет за опоравак мора бити употребљив колеги у 03:00 без вашег контекста. Укључите делотворну конфигурацију са сваком наведеном датотеком, материјал поверења и опозива под надзором власника PKI-ја, доделе и куке по клијенту, и тачне верзије пакета инсталираних данас. Копија једног имена датотеке није конфигурација. Похраните га негде где дежурни оператер може да дође без VPN-а.

Контроле приступа важе и за тај сет, јер садржи приватне кључеве или backend акредитиве. Не обнављајте CA и не издајте идентитете изнова само зато што се променила верзија пакета.

Вежбајте на пилот ослушкивачу са стварним клијентом

Покрените кандидатско издање на засебном ослушкивачу са сопственим планом портова и адреса, не уз продукциону инстанцу на истој утичници. Повежите се клијентским механизмима које ваши корисници стварно извршавају, укључујући онај незгодни. Проверите доделу адреса, гурнути DNS, једну апликацију која је важна и једну путању која мора да остане блокирана. Прилагођене куке морају да се извршавају у стварном контексту привилегија и датотечног система услуге, јер root љуска о њима ништа не доказује.

Читајте напомене о издању због промена понашања, не само нових могућности. Подразумеване поставке шифара и TLS-а мењају се између верзија, а профил који се још парсира ипак може да падне на руковању. Ако надоградња захтева промене профила или сертификата, припремите то као засебан корак уместо да то спакујете у ажурирање пакета.

Пређите једном, са путање изван тунела

Започните прозор са конзоле или из управљачке мреже која не пролази кроз услугу. Потврдите да су корисници обавештени и да други оператер зна како да врати промену. Примените припремљену промену кроз њеног власника, затим поново покрените уз sudo systemctl restart [email protected] и пратите дневник уз journalctl -u openvpn-server@office -b -f. Поновно учитавање је довољно кад су се промениле само дефиниције јединице; промењени профил захтева поновно покретање процеса.

Очекујте да ће се сваки клијент поново повезати и да се неке апликацијске сесије неће наставити. Ускладите чисту паузу са радним оптерећењима која то не могу да поднесу.

Прихватите или вратите, па реците корисницима шта се променило

Прихват је нова пријава плус стварна операција плус ограничења која су још на снази. Активна јединица и зелени ред стања само су чињенице процеса. Ако критеријуми падну унутар прозора, вратите припремљеном методом, а не враћањем једне датотеке и надом; промењена бинарна датотека или политика услуге преживеће враћање конфигурације. Сачувајте сваки опозив или промену овлашћења учињену током прозора како враћање не би поништило безбедносни рад.

Забележите верзије, промене профила и резултате прихвата за следећег оператера, умировите пилот ослушкивач и реците корисницима који профил сада да користе. Прозор који заврши без те белешке поново се преиспитује при следећем ажурирању.