Access Server’dan Community OpenVPN’e: neyin yeniden insa edilmesi gerekiyor

Access Server ve Community OpenVPN ayni protokolu konusur ve neredeyse baska hicbir seyi ayni sekilde yapmaz. El sikisma, sifre muzakeresi ve tunelin veri duzlemi uyumludur, bu yuzden bir istemci cogu zaman profilini duzenlemeden ikisine de baglanabilir. Fark, yapilandirmanin kime ait oldugudur: bir urun politikayi yazan ve uygulayan bir yonetim katmani getirir, digeri size bir yapilandirma dosyasi ve bir dizi kanca verir ve karar vermenizi bekler.

Bu fark, gecis planinin kendisidir. Eski urunun sizin adiniza verdigi her karar, yeni kurulumda bir yerde acik bir karar haline gelmelidir.

Iki kurulumun artik birbirinin yerine gecmedigi yer

Access Server’da web yonetim arayuzu kullanicilarin, gruplarin, kullanici basina izinlerin, sertifika verilmesinin ve bir kisinin indirdigi profil paketinin sahibidir. Alttaki daemon o katman tarafindan yapilandirilir, bu yuzden calisan hizmet elle nadiren duzenlediginiz saklanmis durumun urunudur. Community OpenVPN’de yapilandirma dosyasi durumun kendisidir: dinleyiciyi, sertifika otoritesini, kimlik dogrulama kancasini ve gonderilen her secenegi adlandirir ve hicbir sey onu sizin adiniza yeniden yazmaz. Ayni TLS makinesi boylece cok farkli iki sahiplik modeli altinda durur.

Kisa bir haritalama boslugu somutlastirir. Kullanicilar ve gruplar, siz onlari yeniden olusturana kadar yalnizca eski veritabaninda bulunur. Profil paketleri bir yapilandirma dosyasi ve kendiniz dagittiginiz sertifikalar haline gelir. Kullanici basina izinler client-config-dir icindeki direktifler olur. Yonetim arayuzu, sertifika vermek ve dosyalari duzenlemek icin sectiginiz surec olur.

Bu haritayi bir sunucuya dokunmadan once yazin. Dolduramadiginiz her satir, kaybetmek uzere oldugunuz bir ozelliktir ve sessizce kaybetmek bir gecisin iki hafta sonra kesintiye donusme yoludur.

Kimlik sertifika dosyalariyla birlikte tasinmaz

Eski otoritenin sertifikalari yeni hizmette dogru sekilde ayristirilabilir ve yine de yanlis kimlik olabilir, cunku eski urun onlari yeni hizmetin goremedigi hesap durumuyla eslestiriyordu. Once yeni kurulumun yalnizca sertifikayla mi, PAM veya RADIUS’a ulasan bir eklentiyle mi, yoksa bir kombinasyonla mi kimlik dogruladigina karar verin, sonra her secenegin ihtiyac duydugunuz ozellikleri korudugunu kontrol edin. Kullanici basina kimlik olmadan paylasilan bir sertifika, ona sahip herkes icin tek bir kimlik bilgisidir. Iptal de ilk gunden calismalidir; Community OpenVPN’de bu, crl-verify’in basvurdugu bir CRL dosyasi ve onu yeniden ureten bir surec demektir.

Kaydi gecisten once planlayin, sonra degil. Yeni sertifikalar, test edilmis bir iptal yolu ve bir kisiyi devre disi birakmanin belgelenmis yolu on kosullardir, sonraki is degil. Cok faktorlu kimlik dogrulama eski urunun entegrasyonundan geldiyse yerine geceni acikca adlandirin, cunku kurulmamis bir eklenti en kotu anda kapali sekilde basarisiz olur.

Yonlendirme ve ad cozumleme yapilandirmayi yazan kisiyi izler

Yollar, DNS ayarlari ve tam tunel davranisi iki urunde de gonderilen seceneklerdir, ancak bunlari sizin icin yalnizca biri hesaplar. Community OpenVPN’de push direktiflerini kendiniz yazarsiniz, redirect-gateway’in sunucuya mi istemciye mi ait olduguna karar verirsiniz ve ana makinede yonlendirme ile NAT bulundugunu dogrularsiniz. Tamamlanmis bir el sikisma yonlendirme, adres cevirisi veya istemcinin gercekte aldigi yollar hakkinda hicbir sey soylemez.

Istemci basina davranis client-config-dir ve istemci sertifikasinin common name’ine gore adlandirilmis bir dosya gerektirir; saha-saha cifti ise arkasindaki onekler icin iroute girdileri ister. Ad yanlissa secenekler hata vermeden yok sayilir. Uretim disi tek bir istemciyle kendi adres havuzunda test edin, ardindan ona atanan adresi, aldigi yollari ve sonunda kaldigi cozumleyici ayarlarini okuyun.

Eski hizmetin geri donebilmesi icin gecisi siralayin

Yeni dinleyiciyi farkli bir baglanti noktasinda veya adreste calistirin ve siz yerine geceni kanitlarken eski olan trafigi sunmaya devam etsin. Tek bir soket uzerinde iki daemon geri donus plani degildir.

Her seferinde bir grubu kendi sertifikalari, kendi havuzu ve kendi yollariyla tasiyin ve donus yolunu olayin ortasinda kesfetmek yerine prova edin. Yeni hizmet once durdurulmazsa calismayan bir geri donus yine geri donustur, ancak hicbir sey yanmazken test edilmelidir.

Son olarak, dogrudan karsiligi olmayan ozellikleri listeleyin ve her birinin akibetini yaziyla belirleyin: self servis profil indirme, kullanici basina izin bayraklari, yonetim arayuzunun kendisi, canli baglanti raporlari. Bunlari belgelenmis manuel bir surecle degistirmek mesru bir yanittir. Satiri bos birakmak degildir.

Is, eski portali hic gormemis bir kisi kaydolabildiginde, baglanabildiginde, amaclanan ic adrese ulasabildiginde ve temiz sekilde iptal edilebildiginde biter. Bundan onceki her sey hazirliktir.