Berei ’n seriële herstelroete voor voordat jy ’n GCE-VPN verander

’n Tweede SSH-venster op dieselfde koppelvlak is nie ’n herstelroete nie. Dit deel die roete, die firewallreël en die daemon wat jy op die punt staan om te verander, so dit faal op presies die oomblik wanneer jy dit nodig het. Voordat jy VPN-roetes op ’n Compute Engine-VM wysig, bewys drie afsonderlike dinge: dat jy die seriële konsole mag gebruik, dat jy die uitvoer daarvan kan lees, en dat die gas jou werklik ’n aanmelding sal gee. Die kontroles hieronder volg in daardie volgorde, die goedkoopste eerste, sodat ’n ontbrekende toestemming ontdek word voordat dit saak maak.

Stap 1: bevestig die wolktoestemming

Noem die presiese VM, projek en sone en kyk dan na die organisasie se goedgekeurde seriële toegangsbeleid. Die administrateur het die betrokke toestemming nodig, en interaktiewe seriële toegang moet vir daardie instansie geaktiveer word onder die projek- en organisasiekontroles wat geld.

Moet nie ’n organisasiebeleid verswak of konsooltoegang oor ’n hele projek aanskakel om een masjien voor te berei nie. Laat die eienaar die toegelate meganisme voor die eksperiment reël, nie tydens die onderbreking nie.

Stap 2: bewys dat jy uitvoer kan lees

Die lees van seriële uitvoer is die goedkoopste kontrole, en dit oefen die vervoer sonder om die gas se aanmelding te raak:

gcloud compute instances get-serial-port-output VM_NAME \
    --project PROJECT_ID --zone ZONE --port 1

Vervang die identifiseerders en gebruik die toegelate poort. Selflaaiboodskappe en konsole-geklets wys dat die kanaal werk. Hulle bewys nie dat jy ’n shell kan kry nie. Daarom is hierdie stap apart van die volgende een.

Stap 3: bewys dat jy ’n interaktiewe aanmelding kan kry

Die verbindingsopdrag open ’n werklike sessie, nie ’n voorskou nie:

gcloud compute connect-to-serial-port VM_NAME \
    --project PROJECT_ID --zone ZONE --port 1

Behandel dit as ’n lewendige konsole. Bevestig die eindpunt voordat jy geloofsbriewe intik, want elke toetsaanslag beland op die instansie.

Dit is waar ’n plan wat volledig gelyk het, uitmekaar val. Wolktoestemming is een grens en die Linux-aanmeldingsprompt is ’n ander, en om die eerste te slaag sê niks oor die tweede nie.

Stap 4: berei geloofsbriewe voor wat die gas sal aanvaar

Linux-beelde wat Google verskaf, aktiveer nie by verstek plaaslike wagwoordgebaseerde aanmelding nie. ’n Seriële sessie kan dus ’n aanmeldingsprompt bereik en daar stop, terwyl dit wag vir ’n geloofsbrief wat niemand gestel het nie.

’n Goedgekeurde herstelrekening, of watter gedokumenteerde gasaanmeldingsmetode jou ontplooiing ook al gebruik, moet bestaan en getoets wees. ’n SSH-sleutel wat oor die netwerk werk, bevredig nie outomaties ’n konsole-wagwoordprompt nie, so kyk na die werklike OS Login- en sleutelreëling eerder as om aan te neem dat dit hierdie geval dek.

Hou herstelgeloofsbriewe privaat. ’n root-wagwoord wat in ’n openbare startup-script-voorbeeld geplak word, is ’n tweede voorval wat wag om te gebeur.

Stap 5: teken die eienaar en die terugrol aan

Voordat jy enigiets verander, bewaar die werkende netwerkkonfigurasie en skryf neer wie dit bestuur, watter VPN-diens betrokke is en hoe ’n terugrol uitgevoer word. Vanuit ’n werkende sessie, neem die huidige roetes, reëls en dienstoestand vas.

Daardie rekord is wat ’n herstelkanaal in ’n herstelling omskep, want die konsole gee jou net ’n prompt. Skryf dit voor die verandering, nie later uit die geheue nie. ’n Terugrol wat uit ’n wiki gekopieer is, is nie ’n terugrol nie. Dit is ’n raaiskoot met ’n weergawenommer.

Stap 6: verifieer ná die verandering

’n Bestaande SSH-sessie kan ’n beleid oorleef wat nuwe sessies blokkeer, so toets met ’n nuwe normale administrasiesessie. Toets dan die VPN-gedrag wat jy verander het, afsonderlik.

Hou die herstelkanaal oop totdat albei kontroles slaag, en sluit dit daarna volgens die toegangsbeleid. As SSH reeds verlore is en geen konsole-aanmelding voorberei is nie, hou op om seriële toegang as ’n veiligheidsnet te behandel en begin die gemagtigde rekeningherstel- of instansieherstelwerkstroom. Om nog ’n VM as ’n sprongbediener op te stel, herstel nóg die gas se roete nóg die ontbrekende geloofsbriewe.