Planera ett underhållsfönster för OpenVPN utan att tappa värden

Att starta om VPN-tjänsten avslutar varje session som använder den, så fönstret måste byggas kring samtal och inte kring pakethanteraren. Användarna behöver tillräckligt varsel för att slutföra känsligt arbete, och du behöver en väg tillbaka som inte beror på tunneln du är på väg att stoppa. Allt annat i handboken finns för att göra dessa två fakta hanterbara. Hoppa över någon av dem och en rutinuppdatering blir ett avbrott utan utgång.

Ordningen nedan är avsiktlig: varje steg producerar något nästa steg behöver, och varje steg kan avsluta ändringen innan den börjar.

Fånga tjänsten som finns innan du ändrar den

Läs den installerade enheten i stället för den du tror att du skrev: systemctl cat [email protected] skriver ut enheten och eventuella drop-ins, och systemctl show [email protected] -p ExecStart -p User -p WorkingDirectory visar vad som faktiskt körs och som vem. Fråga binärfilen som enheten namnger, eftersom openvpn --version från ett skal kan peka på ett annat bygge. Anteckna profilsökvägen och varje fil den refererar till.

Notera även de lyssnande uttagen: ss -lunp | grep 1194 berättar vilken adress och protokoll daemonen äger i dag. Om svaret inte är det profilen antyder, åsidosätter en drop-in eller en miljöfil det, och uppgraderingen ärver den överraskningen.

Sätt ihop en återställningsuppsättning som någon annan kan använda

Återställningsuppsättningen måste kunna användas av en kollega klockan 03:00 utan din kontext. Inkludera den effektiva konfigurationen med varje refererad fil, förtroende- och återkallningsmaterialet under PKI-ägarens kontroll, tilldelningarna och krokarna per klient, samt de exakta paketversionerna som är installerade i dag. En kopia av ett filnamn är inte en konfiguration. Förvara den där jourhavande operatören kan nå den utan VPN.

Åtkomstkontroller gäller även den uppsättningen, eftersom den innehåller privata nycklar eller backend-uppgifter. Bygg inte om CA:n och utfärda inte identiteter igen bara för att en paketversion ändrades.

Öva på en pilotlyssnare med en riktig klient

Kör kandidatutgåvan på en separat lyssnare med egen port- och adressplan, inte bredvid produktionsinstansen på samma uttag. Anslut med de klientmotorer dina användare faktiskt kör, inklusive den besvärliga. Kontrollera adresstilldelning, pushad DNS, en applikation som betyder något och en väg som ska förbli blockerad. Anpassade krokar måste köras i tjänstens verkliga privilegie- och filsystemskontext, eftersom ett root-skal inte bevisar något om dem.

Läs utgåvenoterna för beteendeändringar, inte bara för nya funktioner. Standardvärden för chiffer och TLS flyttar sig mellan versioner, och en profil som fortfarande parsas kan fortfarande misslyckas i en handskakning. Om uppgraderingen kräver profil- eller certifikatändringar, lägg det som ett eget steg i stället för att bunta in det i paketuppdateringen.

Växla över en gång, från en väg utanför tunneln

Starta fönstret från en konsol eller ett hanteringsnät som inte går genom tjänsten. Bekräfta att användarna har informerats och att en andra operatör vet hur man rullar tillbaka. Tillämpa den förberedda ändringen via dess ägare, starta sedan om med sudo systemctl restart [email protected] och följ journalen med journalctl -u openvpn-server@office -b -f. En omladdning räcker när bara enhetsdefinitioner ändrades; en ändrad profil kräver att processen startas om.

Räkna med att varje klient återansluter, och att vissa applikationssessioner inte återupptas. Samordna en ren paus med arbetsbelastningarna som inte tål det.

Acceptera eller rulla tillbaka, berätta sedan för användarna vad som ändrades

Acceptans är en ny inloggning plus en verklig åtgärd plus de begränsningar som fortfarande gäller. En aktiv enhet och en grön statusrad är procesfakta. Om kriterierna misslyckas inom fönstret, rulla tillbaka med den förberedda metoden, inte genom att återställa en enda fil och hoppas; en ändrad binärfil eller tjänstepolicy överlever en konfigurationsåterställning. Bevara alla återkallanden eller behörighetsändringar som gjordes under fönstret så att återrullningen inte ångrar säkerhetsarbetet.

Anteckna versionerna, profiländringarna och acceptansresultaten för nästa operatör, pensionera pilotlyssnaren och berätta för användarna vilken profil de ska använda nu. Ett fönster som slutar utan den anteckningen tas upp igen vid nästa uppdatering.