[Sysadmins] OpenVPN и systemd

[Sysadmins] OpenVPN и systemd

[Vladimir Karpinsky]

Здравствуйте!

У меня сервис OpenVPN  и systemd существуют как-то параллельно:

# service openvpn status
openvpn.service - LSB: This shell script starts and stops OpenVPN daemons.
    Loaded: loaded (/etc/rc.d/init.d/openvpn)
    Active: activating (start) since Thu 2013-09-05 07:05:22 UTC; 2min 37s ago
   Process: 17020 ExecStart=/etc/rc.d/init.d/openvpn start (code=exited, 
status=0/SUCCESS)
    CGroup: name=systemd:/system/openvpn.service
            └─1933 /sbin/minilogd

Sep 05 07:05:22 pulman.spb.gsras.ru systemd[1]: Stopped LSB: This shell 
script starts and stops OpenVPN daemons..
Sep 05 07:05:22 pulman.spb.gsras.ru systemd[1]: Starting LSB: This shell 
script starts and stops OpenVPN daemons....
Sep 05 07:05:22 pulman.spb.gsras.ru openvpn[17020]: Adjusting environment 
for openvpn: [ DONE ]
Sep 05 07:05:22 pulman.spb.gsras.ru openvpn[17020]: Service openvpn is 
already running.[PASSED]
Sep 05 07:05:22 pulman.spb.gsras.ru systemd[1]: PID file 
/var/run/openvpn.pid not readable (yet?) after start.

На самом деле PID создаётся скриптом /etc/init.d/openvpn совсем другой:

-rw-r--r-- 1 root root 6 Sep  4 03:29 /var/run/openvpn-client.pid

Соответственно что-то совсем не то делает команды service openvpn 
start|stop|restart.

Как бы их (systemd и openvpn) подружить?

-- 
	С уважением,
		Владимир.

Re: [Sysadmins] OpenVPN и systemd

[Anton Farygin]

05.09.2013 11:18, Vladimir Karpinsky пишет:
> Как бы их (systemd и openvpn) подружить?
>
openvpn надо поднимать из etcnet.

А сервис openvpn вообще бы удалить. Он скорее вреден, чем полезен.

Re: [Sysadmins] OpenVPN и systemd

[Michael Shigorin]

On Wed, Sep 11, 2013 at 07:43:42PM +0400, Anton Farygin wrote:
> А сервис openvpn вообще бы удалить. Он скорее вреден, чем полезен.

Гномий подход.  Использую и то, и то в разных местах.

-- 
 ---- WBR, Michael Shigorin / http://altlinux.org
  ------ http://opennet.ru / http://anna-news.info

Re: [Sysadmins] OpenVPN и systemd

[Vladimir Karpinsky]

11.09.2013 19:48, Michael Shigorin пишет:
> On Wed, Sep 11, 2013 at 07:43:42PM +0400, Anton Farygin wrote:
>> А сервис openvpn вообще бы удалить. Он скорее вреден, чем полезен.
>
> Гномий подход.  Использую и то, и то в разных местах.

У меня сервис вполне нормально работает и сервером, и клиентом. Но, вот, 
теперь (после перехода на systemd), я совершенно не понимаю что делает 
команда service openvpn restart|stop|start, какой конфиг используется и всё 
такое. Ни в каталоге /lib/systemd/system/, ни тем более в 
/etc/systemd/system/multi-user.target.wants/ я ничего про openvpn не вижу.

# chkconfig --list

Note: This output shows SysV services only and does not include native
       systemd services. SysV configuration data might be overridden by
       native systemd configuration.

...
openvpn         0:off   1:off   2:on    3:on    4:on    5:on    6:off
...

То что делается также плохо соотносится с /etc/init.d/openvpn. Даже PID 
создаётся с другим именем и пр.

У меня есть скрипт, проверяющий работу тоннеля и передёргивающий его, если, 
что. Так этот скрипт раньше делал service openvpn restart, а теперь ему 
велено делать /etc/init.d/openvpn restart, иначе всё без толка. В общем-то 
и так работает, но хочется навести порядок...

-- 
	С уважением,
		Владимир.

Re: [Sysadmins] OpenVPN и systemd

[Anton Farygin]

11.09.2013 19:48, Michael Shigorin пишет:
> On Wed, Sep 11, 2013 at 07:43:42PM +0400, Anton Farygin wrote:
>> >А сервис openvpn вообще бы удалить. Он скорее вреден, чем полезен.
> Гномий подход.  Использую и то, и то в разных местах.

И зря используешь.

И то и то одновременно вредно. А только одно что-то ещё вреднее - где же 
унификация точки входа и конфигов ?

А сервис надо удалить, что бы никто глупых вопросов не задавал а сразу 
брал готовую документацию из etcnet и использовал работающее проверенное 
решение.

Re: [Sysadmins] OpenVPN и systemd

[Michael Shigorin]

On Wed, Sep 11, 2013 at 11:28:15PM +0400, Anton Farygin wrote:
> >>>А сервис openvpn вообще бы удалить. Он скорее вреден, чем полезен.
> >Гномий подход.  Использую и то, и то в разных местах.
> И зря используешь.

Так работает.  Например, на ноуте исторически один ovpn-клиент
был поднят при помощи сервиса openvpn, а второй был добавлен
как etcnet iface.

> И то и то одновременно вредно. А только одно что-то ещё вреднее
> - где же унификация точки входа и конфигов ?

Вот в гноме и занимаются унификацией в ущерб здравому смыслу :(

> А сервис надо удалить, что бы никто глупых вопросов не задавал
> а сразу брал готовую документацию из etcnet и использовал
> работающее проверенное решение.

Они оба работающие и проверенные.  Работает -- не ломай.
Самый бытовой довод в пользу обратной совместимости --
dist-upgrade.

Другое дело, что документацией и инструментами настройки
можно поддерживать именно рекомендуемый вариант; вот это
конструктивно.

-- 
 ---- WBR, Michael Shigorin / http://altlinux.org
  ------ http://opennet.ru / http://anna-news.info

Re: [Sysadmins] OpenVPN и systemd

[Anton Farygin]

13.09.2013 16:32, Michael Shigorin пишет:
> On Wed, Sep 11, 2013 at 11:28:15PM +0400, Anton Farygin wrote:
>>>>> > >>>А сервис openvpn вообще бы удалить. Он скорее вреден, чем полезен.
>>> > >Гномий подход.  Использую и то, и то в разных местах.
>> >И зря используешь.
> Так работает.  Например, на ноуте исторически один ovpn-клиент
> был поднят при помощи сервиса openvpn, а второй был добавлен
> как etcnet iface.
>

А ещё openvpn можно запускать из командной строки с необходимыми 
параметрами. Но ты ведь так не делаешь, верно ?

Сервис openvpn - это не правильно. Есть дистрибутивное решение, которое 
позволяет поднимать интерфейсы через одну точку входа. ifup <интерфейс>

всё остальное - костыли, которые могут сломаться, что и показывает 
топикстартер.

Re: [Sysadmins] OpenVPN и systemd

[Michael Shigorin]

On Tue, Sep 17, 2013 at 02:12:09PM +0400, Anton Farygin wrote:
> Сервис openvpn - это не правильно. Есть дистрибутивное решение

Для меня сервис openvpn -- тоже дистрибутивное решение.
Правда, systemd не использую, тем более на серверах. :)

А для топикстартера предложенный тобой вариант (переехать
на поднятие туннелей) и впрямь может оказаться лучше,
хотя по-хорошему стоит синхронизировать путь к pid-файлу
в инитскрипте и unit-файле.

-- 
 ---- WBR, Michael Shigorin / http://altlinux.org
  ------ http://opennet.ru / http://anna-news.info

Re: [Sysadmins] OpenVPN и systemd

[Mike Lykov]

> И то и то одновременно вредно. А только одно что-то ещё вреднее - где же
> унификация точки входа и конфигов ?
>
> А сервис надо удалить, что бы никто глупых вопросов не задавал а сразу
> брал готовую документацию из etcnet и использовал работающее проверенное
> решение.

что-то хотел я "взять готовую документацию из etcnet" , но никак не могу ее найти.
исходный вопрос простой - openvpn *сервер* без использования сервиса - только etcnet.

в пакете есть /usr/share/doc/etcnet-0.9.10/README.ovpn
и в нем все очень подробно на эту тему:
"                     /etc/net and OpenVPN
"iplink" file DOES NOT work for ovpn interfaces due to the design
of OpenVPN software. The only reliable way to set MAC-address of an
ovpn TAP-interface to some fixed value is to use "lladdr" option
of openvpn daemon (which is only available in OpenVPN version 2.1
unless intentionally backported to 2.0). This is done through usual
"ovpnoptions" file in interface's config directory."

бездна документации.

есть в пакете еще невнятные 
/usr/share/doc/etcnet-0.9.10/examples/OpenVPN-TAP/i0060756/
/usr/share/doc/etcnet-0.9.10/examples/OpenVPN-to-satellite/
без каких-либо пояснений.

есть еще страница http://www.altlinux.org/Etcnet , и там ни слова о openvpn.

может еще где поискать? Пока я вижу только что "документировано исходным кодом"..


-- 
Mike

Re: [Sysadmins] OpenVPN и systemd

[Vladimir Karpinsky]

Здравствуйте!

17.09.2013 18:40, Michael Shigorin пишет:
> Для меня сервис openvpn -- тоже дистрибутивное решение.
> Правда, systemd не использую, тем более на серверах.:)

А как откатится с systemd обратно? Достаточно ли просто apt-get remove 
<пакет(ы)> или надо делать что-то ещё?

А то и nut как-то не всё делает, что делал раньше...

-- 
	С уважением,
		Владимир.

Re: [Sysadmins] OpenVPN и systemd

[Mike Lykov]

>>  А сервис надо удалить, что бы никто глупых вопросов не задавал а сразу
>>  брал готовую документацию из etcnet и использовал работающее проверенное
>>  решение.

> есть еще страница http://www.altlinux.org/Etcnet , и там ни слова о openvpn.

Теперь есть...
Потратил часа три  -  в том числе на описание и форматирование.
Разобрался (по исходному коду скриптов), чего ему не хватает.

Занес сюда:

http://www.altlinux.org/Etcnet#.D0.9D.D0.B0.D1.81.D1.82.D1.80.D0.BE.D0.B9.D0.BA.D0.B0_.D0.B8.D0.BD.D1.82.D0.B5.D1.80.D1.84.D0.B5.D0.B9.D1.81.D0.B0_.D1.82.D0.B8.D0.BF.D0.B0_OpenVPN

(предыдущий раздел, кстати, тоже целиком мой ;)

Ясное дело, что это только один частный случай, но! "я хотя бы попытался" :)

-- 
Mike

Re: [Sysadmins] OpenVPN и systemd

[Michael Shigorin]

On Tue, Sep 24, 2013 at 10:51:32AM +0400, Mike Lykov wrote:
> есть еще страница http://www.altlinux.org/Etcnet , и там ни слова о openvpn.

Это как?

http://www.altlinux.org/Etcnet#.D0.9D.D0.B0.D1.81.D1.82.D1.80.D0.BE.D0.B9.D0.BA.D0.B0_.D0.B8.D0.BD.D1.82.D0.B5.D1.80.D1.84.D0.B5.D0.B9.D1.81.D0.B0_.D1.82.D0.B8.D0.BF.D0.B0_OpenVPN

-- 
 ---- WBR, Michael Shigorin / http://altlinux.org
  ------ http://opennet.ru / http://anna-news.info

Re: [Sysadmins] OpenVPN и systemd

[Michael Shigorin]

On Tue, Sep 24, 2013 at 11:25:31AM +0400, Vladimir Karpinsky wrote:
> >Для меня сервис openvpn -- тоже дистрибутивное решение.
> >Правда, systemd не использую, тем более на серверах.:)
> А как откатится с systemd обратно? Достаточно ли просто apt-get
> remove <пакет(ы)> или надо делать что-то ещё?

Как минимум понадобится установить sysvinit и sysklogd
той же транзакцией.

-- 
 ---- WBR, Michael Shigorin / http://altlinux.org
  ------ http://opennet.ru / http://anna-news.info

Re: [Sysadmins] OpenVPN и systemd

[Michael Shigorin]

On Tue, Sep 24, 2013 at 03:39:50PM +0400, Mike Lykov wrote:
> Занес сюда:

О как -- спасибо, тёзка :)

-- 
 ---- WBR, Michael Shigorin / http://altlinux.org
  ------ http://opennet.ru / http://anna-news.info

Re: [Sysadmins] OpenVPN и systemd

[Andrii Dobrovol`s`kii]

-----BEGIN PGP SIGNED MESSAGE-----
Hash: SHA256

Mike Lykov wrote:
>>> А сервис надо удалить, что бы никто глупых вопросов не
>>> задавал а сразу брал готовую документацию из etcnet и
>>> использовал работающее проверенное решение.
> 
>> есть еще страница http://www.altlinux.org/Etcnet , и там ни
>> слова о openvpn.
> 
> Теперь есть... Потратил часа три  -  в том числе на описание и
> форматирование. Разобрался (по исходному коду скриптов), чего
> ему не хватает.
> 
> Занес сюда:
> 
> http://www.altlinux.org/Etcnet#.D0.9D.D0.B0.D1.81.D1.82.D1.80.D0.BE.D0.B9.D0.BA.D0.B0_.D0.B8.D0.BD.D1.82.D0.B5.D1.80.D1.84.D0.B5.D0.B9.D1.81.D0.B0_.D1.82.D0.B8.D0.BF.D0.B0_OpenVPN
>
>  (предыдущий раздел, кстати, тоже целиком мой ;)
> 
> Ясное дело, что это только один частный случай, но! "я хотя бы
> попытался" :)
> 
Огромное спасибо за потраченное время и сылы.
- -- 
Rgrds,
Andriy
*********************************************************************
email: dobr at iop dot kiev dot ua            Kyiv, Ukraine
Phone: (380-44)   525-7824            Department of Gas Electronics
Fax:   (380-44)   525-2329             Institute of Physics of NASU
*********************************************************************
-----BEGIN PGP SIGNATURE-----
Version: GnuPG v1.4.13 (GNU/Linux)
Comment: Using GnuPG with SeaMonkey - http://www.enigmail.net/

iF0EAREIAAYFAlJBiMAACgkQpBPgR3404hO+gQD4noPMfgtWbIw5V/tFrgm7um3Z
hvsxtXW6R/g9cSXmawD/Rz7OZ0M9S3i0nQ8vX9nBjltng3fYay1m/+KgbXrSdcQ=
=RlF0
-----END PGP SIGNATURE-----

Re: [Sysadmins] OpenVPN и systemd

[Mike Lykov]

>>  есть еще страница http://www.altlinux.org/Etcnet , и там ни слова о openvpn.
>
> Это как?
>
> http://www.altlinux.org/Etcnet#.D0.9D.D0.B0.D1.81.D1.82.D1.80.D0.BE.D0.B9.D0.BA.D0.B0_.D0.B8.D0.BD.D1.82.D0.B5.D1.80.D1.84.D0.B5.D0.B9.D1.81.D0.B0_.D1.82.D0.B8.D0.BF.D0.B0_OpenVPN

Михаил, не надо торопиться. 
Зачем же выставлять себя в таком свете - посмотрите автора правок.

Мне больше интересен ответ от Антона о "сразу брал готовую документацию из etcnet и использовал работающее проверенное решение. " все же - не я один был бы ему благодарен за указание на эту его документацию ;)

-- 
Mike

Re: [Sysadmins] OpenVPN и systemd

[Vladimir Karpinsky]

24.09.2013 16:39, Michael Shigorin пишет:
> On Tue, Sep 24, 2013 at 11:25:31AM +0400, Vladimir Karpinsky wrote:
>>> Для меня сервис openvpn -- тоже дистрибутивное решение.
>>> Правда, systemd не использую, тем более на серверах.:)
>> А как откатится с systemd обратно? Достаточно ли просто apt-get
>> remove <пакет(ы)> или надо делать что-то ещё?
>
> Как минимум понадобится установить sysvinit и sysklogd
> той же транзакцией.

Ищу, но пока не могу найти:

$ apt-get remove <перечисленное ниже> && apt-get install sysvinit sysklogd

Это одна транзакция или две последовательные?

Нашёл указание, что нужно делать install, а потом перечислять удаляемое с 
минусом в конце:

$ apt-get install sysvinit sysklogd systemd- libsystemd-id128- и т.д. по списку

Но это писалось про к Debian, в родном man'е такой вариант не фигурирует.

$ rpm -qa | grep systemd
systemd-201-alt1.M70P.1
libsystemd-id128-201-alt1.M70P.1
systemd-sysvinit-201-alt1.M70P.1
libsystemd-daemon-201-alt1.M70P.1
libsystemd-journal-201-alt1.M70P.1
libsystemd-login-201-alt1.M70P.1

Я прошу прощения, что так дотошно распрашиваю, но мне не на чем 
тестировать. Сразу в бой! Со всеми вытекающими...

-- 
	С уважением,
		Владимир.

Re: [Sysadmins] OpenVPN и systemd

[Serge Boudnik]

24.09.2013 22:36, Vladimir Karpinsky пишет:
> $ apt-get install sysvinit
Эта команда предложит удалить systemd-sysvinit и установить все, чего 
еще не хватает.
Потом можно удалить оставшиеся пакеты systemd.

-- 
WBR, Serge Boudnik

Re: [Sysadmins] OpenVPN и systemd

[Michael Shigorin]

On Tue, Sep 24, 2013 at 10:31:11PM +0400, Mike Lykov wrote:
> Михаил, не надо торопиться. 

Прошу прощения, понял через минуту после отправки...

-- 
 ---- WBR, Michael Shigorin / http://altlinux.org
  ------ http://opennet.ru / http://anna-news.info

Re: [Sysadmins] OpenVPN и systemd

[Michael Shigorin]

On Tue, Sep 24, 2013 at 11:36:55PM +0400, Vladimir Karpinsky wrote:
> >>>Для меня сервис openvpn -- тоже дистрибутивное решение.
> >>>Правда, systemd не использую, тем более на серверах.:)
> >>А как откатится с systemd обратно? Достаточно ли просто apt-get
> >>remove <пакет(ы)> или надо делать что-то ещё?
> >Как минимум понадобится установить sysvinit и sysklogd
> >той же транзакцией.
> Ищу, но пока не могу найти:
> $ apt-get remove <перечисленное ниже> && apt-get install sysvinit sysklogd
> Это одна транзакция или две последовательные?

Это две.

> Нашёл указание, что нужно делать install, а потом перечислять
> удаляемое с минусом в конце:
> 
> $ apt-get install sysvinit sysklogd systemd- libsystemd-id128- и т.д. по 
> списку
> 
> Но это писалось про к Debian, в родном man'е такой вариант не фигурирует.

Работает и на нашем апте (либо наоборот -- remove a b c+ d+).

> $ rpm -qa | grep systemd
> systemd-201-alt1.M70P.1
> libsystemd-id128-201-alt1.M70P.1
> systemd-sysvinit-201-alt1.M70P.1
> libsystemd-daemon-201-alt1.M70P.1
> libsystemd-journal-201-alt1.M70P.1
> libsystemd-login-201-alt1.M70P.1
> 
> Я прошу прощения, что так дотошно распрашиваю, но мне не на чем
> тестировать. Сразу в бой! Со всеми вытекающими...

Так проверьте на виртуалке :)

-- 
 ---- WBR, Michael Shigorin / http://altlinux.org
  ------ http://opennet.ru / http://anna-news.info

Re: [Sysadmins] OpenVPN и systemd

[Vladimir Karpinsky]

25.09.2013 1:20, Michael Shigorin пишет:
> On Tue, Sep 24, 2013 at 11:36:55PM +0400, Vladimir Karpinsky wrote:
>> $ apt-get install sysvinit sysklogd systemd- libsystemd-id128- и т.д. по
>> списку

Страшно-то как:

$ apt-get install sysvinit sysklogd systemd- libsystemd-id128- 
systemd-sysvinit- libsystemd-daemon- libsystemd-journal- libsystemd-login-
Reading Package Lists... Done
Building Dependency Tree... Done
sysklogd is already the newest version.
The following extra packages will be installed:
   lprng
The following packages will be REMOVED:
...
   kernel-image-std-def#1:3.0.57-alt0.M60P.2 
kernel-image-std-def#1:3.0.90-alt0.M60P.1
   kernel-image-std-def#1:3.10.10-alt1 
kernel-image-std-def#1:3.8.13.6-alt1.M70P.1
...
   xorg-server xorg-utils xulrunner xulrunner-libs
The following NEW packages will be installed:
   lprng sysvinit
0 upgraded, 2 newly installed, 269 removed and 0 not upgraded.
Need to get 676kB of archives.
After unpacking 1357MB disk space will be freed.
Do you want to continue? [Y/n] n

Т.е., не считая мелочей, выносятся, например, все ядра, которые только есть 
в системе!

Если ограничится:
$ sudo apt-get install sysvinit sysklogd systemd- libsystemd-id128- 
systemd-sysvinit- libsystemd-journal-
Reading Package Lists... Done
Building Dependency Tree... Done
sysklogd is already the newest version.
The following packages will be REMOVED:
   libsystemd-id128 libsystemd-journal systemd systemd-sysvinit
The following NEW packages will be installed:
   sysvinit
0 upgraded, 1 newly installed, 4 removed and 0 not upgraded.
Need to get 59.1kB of archives.
After unpacking 4726kB disk space will be freed.

Вроде нормально.

Добавление libsystemd-login- приводит к выносу kde, а libsystemd-daemon- 
выносит и kde, и всё остальное.

-- 
	С уважением,
		Владимир.

Re: [Sysadmins] OpenVPN и systemd

[Michael Shigorin]

On Wed, Sep 25, 2013 at 09:25:10AM +0400, Vladimir Karpinsky wrote:
> libsystemd-daemon-

Немудрено:

# rpm -e libsystemd-daemon
error: removing these packages would break dependencies:
        libsystemd-daemon = 206-alt1 is needed by libudev1-206-alt1
                                                  ^^^^^^^^
        libsystemd-daemon = 206-alt1 is needed by libsystemd-login-206-alt1

-- 
 ---- WBR, Michael Shigorin / http://altlinux.org
  ------ http://opennet.ru / http://anna-news.info

Re: [Sysadmins] OpenVPN и systemd

[Anton Farygin]

24.09.2013 22:31, Mike Lykov пишет:
>
>>>   есть еще страница http://www.altlinux.org/Etcnet , и там ни слова о openvpn.
>>
>> Это как?
>>
>> http://www.altlinux.org/Etcnet#.D0.9D.D0.B0.D1.81.D1.82.D1.80.D0.BE.D0.B9.D0.BA.D0.B0_.D0.B8.D0.BD.D1.82.D0.B5.D1.80.D1.84.D0.B5.D0.B9.D1.81.D0.B0_.D1.82.D0.B8.D0.BF.D0.B0_OpenVPN
>
> Михаил, не надо торопиться.
> Зачем же выставлять себя в таком свете - посмотрите автора правок.
>
> Мне больше интересен ответ от Антона о "сразу брал готовую документацию из etcnet и использовал работающее проверенное решение. " все же - не я один был бы ему благодарен за указание на эту его документацию ;)

/usr/share/doc/etcnet-0.9.10/examples/OpenVPN-TAP/ - этого недостаточно  ???


Впрочем, видимо нет - никто ж не понимает, что в качестве сервера он 
отличается только ovpnoptions

Re: [Sysadmins] OpenVPN и systemd

[Mike Lykov]

>>  Мне больше интересен ответ от Антона о "сразу брал готовую документацию из etcnet и использовал работающее проверенное решение. " все же - не я один был бы ему благодарен за указание на эту его документацию ;)
>
> /usr/share/doc/etcnet-0.9.10/examples/OpenVPN-TAP/ - этого недостаточно  ???

нет конечно. под "документацией" обычно понимают все же слова, а не код или чей-то пример конфига частного случая.
от "примера чьего-то конфига для частного случая" до "готовой документации" большое расстояние.


> Впрочем, видимо нет - никто ж не понимает, что в качестве сервера он
> отличается только ovpnoptions

даже несмотря на это.

-- 
Mike

Re: [Sysadmins] OpenVPN и systemd

[Anton Farygin]

30.09.2013 08:10, Mike Lykov пишет:
> нет конечно. под "документацией" обычно понимают все же слова, а не код или чей-то пример конфига частного случая.
> от "примера чьего-то конфига для частного случая" до "готовой документации" большое расстояние.
>
>
>> >Впрочем, видимо нет - никто ж не понимает, что в качестве сервера он
>> >отличается только ovpnoptions
> даже несмотря на это.

Ну в любом случае - спасибо за описание на вики. Кому-то будет полезно.

Ещё можно было бы наверное, тогда уж, расписать вариант клиента.