Aktualizace OPNsense je úspěšná, když potřebné služby poté správně fungují a změna zůstává dohledatelná. Samotné nové číslo verze to nedokazuje. Poznámky k vydání, záloha konfigurace a krátký seznam pracovních testů proto patří k sobě.
Přečíst změny před začátkem okna
Oficiální archiv vydání dokumentuje změny podle verzových řad. Například řada 26.7 přináší změny ve správě pravidel, NAT a bran. Ukazuje to, proč přechod na jinou verzi může znamenat více než nové jádro. V den údržby se znovu přečtou poznámky ke skutečně zvolené výchozí a cílové verzi.
Zaznamenají se nainstalovaná rozšíření a funkce závislé na změněných komponentách. Omezení důležité pro vlastní systém se někdy skrývá v nenápadném oddílu. Obecný odkaz na nejnovější verzi proto nenahrazuje seznam funkcí používaných ve firmě.
Záloha musí být také použitelná
Před zásahem se aktuální záloha konfigurace uloží mimo firewall. Potřebná hesla a klíče jsou v určeném bezpečném úložišti a přístupné oprávněným osobám. Zároveň se vyjasní, které informace nebo soubory právě tento typ zálohy nezahrnuje.
Pro nouzový stav se počítá s instalací, vhodnou platformou a dostupným administrátorským přístupem. Cesta zpět není totéž co libovolný downgrade. Možnost a způsob obnovy konfigurace v plánované verzi musí odpovídat konkrétní posloupnosti verzí a požadovanému časovému oknu.
Přejímat pomocí skutečných postupů
Před změnou a po ní se kontrolují stejné vybrané úkony. Mohou zahrnovat přístup k internetu, interní překlad názvů, VPN pracoviště a propojení lokalit. U tunelu je cesta dat důležitější než samotný handshake: zamýšlená aplikace musí dosáhnout cíle správnou cestou.
Oficiální příklad WireGuard ukazuje souhru adres tunelu, povolených sítí a pravidel firewallu. Ve firmě se oprávnění omezují na potřebný rozsah. Převzatý vzor s široce otevřenými sítěmi není hotovým individuálním návrhem oprávnění.
Zaznamenat výsledek a další údržbu
Protokol obsahuje výchozí stav, cílový stav, umístění zálohy bez tajných údajů, výsledky testů a otevřená opatření. Změna pravidel nebo služeb dostane své věcné odůvodnění. Pozdější odpovědná osoba tak může pochopit, proč současný stav vypadá právě takto.
DAXS plánuje údržbu OPNsense v souvislosti s přepínači, Wi-Fi, trasami poskytovatelů, serverovými službami a skutečně používanými aplikacemi. Přehledný a opakovatelný plán převzetí snižuje náročnost příští údržby. Konkrétní cílová verze, kompatibilita rozšíření a známé problémy se pro každý zásah ověřují znovu.
Průběžný provoz IT · Zálohování a obnova · Dohodnout údržbu
Zdroje: OPNsense: archiv vydání (externí odkaz) · OPNsense: změny řady 26.7 (externí odkaz) · OPNsense: propojení lokalit pomocí WireGuard (externí odkaz)
