Lập kế hoạch cửa sổ bảo trì OpenVPN mà không mất máy chủ

Khởi động lại dịch vụ VPN kết thúc mọi phiên đang dùng nó, nên cửa sổ phải được xây quanh các cuộc trao đổi chứ không phải quanh trình quản lý gói. Người dùng cần đủ thông báo để hoàn tất công việc nhạy cảm, và bạn cần một đường quay lại không phụ thuộc vào đường hầm bạn sắp dừng. Mọi thứ khác trong sổ tay đều tồn tại để hai sự thật đó trở nên dễ quản lý. Bỏ qua một trong hai thì bản cập nhật thường lệ trở thành sự cố không lối thoát.

Thứ tự dưới đây là có chủ đích: mỗi giai đoạn tạo ra thứ giai đoạn sau cần, và bất kỳ giai đoạn nào cũng có thể kết thúc thay đổi trước khi nó bắt đầu.

Ghi lại dịch vụ đang tồn tại trước khi thay đổi nó

Đọc đơn vị đã cài đặt chứ không phải đơn vị bạn nghĩ mình đã viết: systemctl cat [email protected] in đơn vị và mọi drop-in, và systemctl show [email protected] -p ExecStart -p User -p WorkingDirectory cho thấy thứ thực sự chạy và chạy dưới danh nghĩa ai. Hỏi tệp nhị phân mà đơn vị nêu tên, vì openvpn --version từ shell có thể trỏ tới bản dựng khác. Ghi lại đường dẫn hồ sơ và mọi tệp nó tham chiếu.

Cũng ghi lại các ổ cắm đang lắng nghe: ss -lunp | grep 1194 cho biết daemon đang sở hữu địa chỉ và giao thức nào hôm nay. Nếu câu trả lời không như hồ sơ gợi ý, một drop-in hoặc tệp môi trường đang ghi đè nó, và bản nâng cấp sẽ thừa hưởng bất ngờ đó.

Lắp một bộ khôi phục để người khác dùng được

Bộ khôi phục phải dùng được bởi đồng nghiệp lúc 03:00 mà không cần bối cảnh của bạn. Bao gồm cấu hình hiệu lực cùng mọi tệp được tham chiếu, tài liệu tin cậy và thu hồi dưới quyền kiểm soát của chủ sở hữu PKI, các chỉ định và móc của từng máy khách, và phiên bản gói chính xác đang cài hôm nay. Một bản sao của một tên tệp không phải là cấu hình. Lưu nó ở nơi người trực vận hành có thể tiếp cận mà không cần VPN.

Kiểm soát truy cập cũng áp dụng cho bộ đó, vì nó chứa khóa riêng hoặc thông tin xác thực phụ trợ. Đừng dựng lại CA hay phát hành lại danh tính chỉ vì phiên bản gói thay đổi.

Diễn tập trên bộ lắng nghe thí điểm với máy khách thật

Chạy bản phát hành ứng viên trên một bộ lắng nghe riêng với kế hoạch cổng và địa chỉ riêng, không phải bên cạnh phiên bản sản xuất trên cùng ổ cắm. Kết nối bằng những động cơ máy khách mà người dùng của bạn thực sự chạy, kể cả cái khó chịu. Kiểm tra việc gán địa chỉ, DNS được đẩy, một ứng dụng quan trọng và một đường nên tiếp tục bị chặn. Các móc tùy chỉnh phải chạy trong bối cảnh đặc quyền và hệ thống tệp thật của dịch vụ, vì một shell root không chứng minh được gì về chúng.

Đọc ghi chú phát hành vì thay đổi hành vi chứ không chỉ vì tính năng mới. Mặc định mật mã và TLS dịch chuyển giữa các phiên bản, và một hồ sơ vẫn phân tích được vẫn có thể thất bại khi bắt tay. Nếu bản nâng cấp cần thay đổi hồ sơ hoặc chứng chỉ, hãy chuẩn bị thành bước riêng thay vì gộp vào cập nhật gói.

Chuyển đổi một lần, từ đường ngoài đường hầm

Bắt đầu cửa sổ từ bảng điều khiển hoặc mạng quản trị không đi qua dịch vụ. Xác nhận người dùng đã được báo và người vận hành thứ hai biết cách khôi phục. Áp dụng thay đổi đã chuẩn bị thông qua chủ sở hữu của nó, rồi khởi động lại bằng sudo systemctl restart [email protected] và theo dõi nhật ký bằng journalctl -u openvpn-server@office -b -f. Tải lại là đủ khi chỉ định nghĩa đơn vị thay đổi; hồ sơ đã đổi cần quy trình được khởi động lại.

Hãy chờ mọi máy khách kết nối lại, và một số phiên ứng dụng sẽ không tiếp tục. Phối hợp một khoảng dừng sạch với các khối lượng công việc không chịu được điều đó.

Chấp nhận hoặc khôi phục, rồi cho người dùng biết đã thay đổi gì

Chấp nhận là một lần đăng nhập mới cộng một thao tác thật cộng các hạn chế vẫn còn hiệu lực. Một đơn vị đang hoạt động và một dòng trạng thái xanh chỉ là sự thật của quy trình. Nếu tiêu chí thất bại trong cửa sổ, hãy khôi phục bằng phương pháp đã chuẩn bị, không phải bằng cách phục hồi một tệp và hy vọng; một tệp nhị phân hoặc chính sách dịch vụ đã thay đổi vẫn sống sót qua việc phục hồi cấu hình. Giữ lại mọi thay đổi thu hồi hoặc ủy quyền đã làm trong cửa sổ để việc khôi phục không đảo ngược công việc bảo mật.

Ghi lại phiên bản, thay đổi hồ sơ và kết quả chấp nhận cho người vận hành kế tiếp, cho bộ lắng nghe thí điểm nghỉ hưu, và cho người dùng biết nên dùng hồ sơ nào bây giờ. Một cửa sổ kết thúc mà không có ghi chú đó sẽ bị mổ xẻ lại ở lần cập nhật sau.