Host'u kaybetmeden OpenVPN bakım penceresi planlamak

VPN hizmetini yeniden başlatmak, onu kullanan her oturumu sonlandırır, bu yüzden pencere paket yöneticisinin değil konuşmaların etrafında kurulmalıdır. Kullanıcıların hassas işi bitirebilmesi için yeterli bildirime ihtiyacı var, sizin de durdurmak üzere olduğunuz tünele bağlı olmayan bir geri dönüş yoluna ihtiyacınız var. El kitabındaki her şey bu iki gerçeği yönetilebilir kılmak için var. İkisinden birini atlarsanız, rutin bir güncelleme çıkışı olmayan bir kesintiye dönüşür.

Aşağıdaki sıra bilinçlidir: her aşama bir sonrakinin ihtiyaç duyduğu şeyi üretir ve her aşama değişikliği başlamadan bitirebilir.

Değiştirmeden önce var olan hizmeti yakalayın

Yazdığınızı sandığınız birimi değil, kurulu birimi okuyun: systemctl cat [email protected] birimi ve varsa drop-in'leri yazdırır, systemctl show [email protected] -p ExecStart -p User -p WorkingDirectory gerçekte neyin ve kim olarak çalıştığını gösterir. Birimin adlandırdığı ikili dosyaya sorun, çünkü bir kabuktan openvpn --version başka bir derlemeye işaret edebilir. Profil yolunu ve başvurduğu her dosyayı kaydedin.

Dinleyen soketleri de not edin: ss -lunp | grep 1194 daemonun bugün hangi adrese ve protokole sahip olduğunu söyler. Yanıt profilin önerdiği gibi değilse, bir drop-in veya ortam dosyası onu geçersiz kılıyordur ve yükseltme bu sürprizi devralır.

Başkasının kullanabileceği bir kurtarma seti oluşturun

Kurtarma seti, sizin bağlamınız olmadan 03:00'te bir iş arkadaşı tarafından kullanılabilmelidir. Etkin yapılandırmayı, başvurulan her dosyayla, PKI sahibinin kontrolündeki güven ve iptal malzemesini, istemci başına atamaları ve kancaları ve bugün kurulu tam paket sürümlerini ekleyin. Tek bir dosya adının kopyası yapılandırma değildir. VPN olmadan nöbetçi operatörün ulaşabileceği bir yerde saklayın.

Erişim kontrolleri o set için de geçerlidir, çünkü özel anahtarlar veya arka uç kimlik bilgileri içerir. Sadece bir paket sürümü değişti diye CA'yı yeniden kurmayın veya kimlikleri yeniden düzenlemeyin.

Gerçek bir istemciyle pilot dinleyicide prova yapın

Aday sürümü, üretim örneğinin yanında aynı sokette değil, kendi port ve adres planına sahip ayrı bir dinleyicide çalıştırın. Kullanıcılarınızın gerçekten çalıştırdığı istemci motorlarıyla bağlanın, zor olanı da dahil. Adres atamasını, itilen DNS'i, önemli bir uygulamayı ve engelli kalması gereken bir yolu kontrol edin. Özel kancalar hizmetin gerçek yetki ve dosya sistemi bağlamında çalışmalıdır, çünkü bir root kabuğu onlar hakkında hiçbir şey kanıtlamaz.

Sürüm notlarını yalnızca yeni özellikler için değil, davranış değişiklikleri için okuyun. Şifre ve TLS varsayılanları sürümler arasında kayar ve hâlâ ayrıştırılan bir profil yine de el sıkışmada başarısız olabilir. Yükseltme profil veya sertifika değişikliği gerektiriyorsa, bunu paket güncellemesine katmayın, ayrı bir adım olarak hazırlayın.

Tünelin dışındaki bir yoldan bir kez geçin

Pencereyi hizmetten geçmeyen bir konsoldan veya yönetim ağından başlatın. Kullanıcıların bilgilendirildiğini ve ikinci operatörün geri almayı bildiğini doğrulayın. Hazırlanan değişikliği sahibi aracılığıyla uygulayın, ardından sudo systemctl restart [email protected] ile yeniden başlatın ve journalctl -u openvpn-server@office -b -f ile günlüğü izleyin. Yalnızca birim tanımları değiştiyse yeniden yükleme yeterlidir; değişen profil sürecin yeniden başlatılmasını gerektirir.

Her istemcinin yeniden bağlanmasını ve bazı uygulama oturumlarının devam etmemesini bekleyin. Buna dayanamayan iş yükleriyle temiz bir duraklama koordine edin.

Kabul edin ya da geri alın, sonra kullanıcılara neyin değiştiğini söyleyin

Kabul, yeni bir oturum açma artı gerçek bir işlem artı hâlâ yürürlükte olan kısıtlamalardır. Etkin bir birim ve yeşil durum satırı yalnızca süreç gerçekleridir. Ölçütler pencere içinde başarısız olursa, tek bir dosyayı geri yükleyip ummakla değil, hazırlanan yöntemle geri alın; değişen bir ikili dosya veya hizmet politikası yapılandırma geri yüklemesinden sağ çıkar. Geri alma güvenlik işini bozmasın diye pencere sırasında yapılan her iptal veya yetkilendirme değişikliğini koruyun.

Sürümleri, profil değişikliklerini ve kabul sonuçlarını bir sonraki operatör için kaydedin, pilot dinleyiciyi devreden çıkarın ve kullanıcılara artık hangi profili kullanacaklarını söyleyin. O not olmadan biten bir pencere, bir sonraki güncellemede yeniden tartışmaya açılır.