Hoe om 'n VPN-bedienerkonfigurasie veilig terug te rol

Om 'n bediener terug te rol is 'n besluit oor watter laag gefaal het, nie 'n oefening in die kopieer van lêers nie. Konfigurasie, geloofsbriewe en pakketweergawes beweeg op aparte horlosies, en om een te herstel terwyl die ander bybly, lewer 'n gasheer wat gesond lyk en onbestendig optree. Die volgorde hieronder aanvaar dat 'n verandering reeds verkeerd geloop het en vra jou om die kleinste samehangende toestand te herstel. Werk dit in volgorde deur en beskou die buiteband-toegangstoets as die stap wat niemand mag oorslaan nie.

Skep 'n kontrolepunt wat jy werklik kan herstel

Teken die konfigurasie aan wat die diens by die opstart lees, saam met die weergawe wat dit laas ontleed het. 'n Lêer wat skoon onder 'n ouer vrystelling gelaai het, kan ná 'n opgradering verwerp of stilweg geïgnoreer word, so die weergawe hoort in dieselfde nota. Trek die materiaal in waarna die konfigurasie wys: private sleutels, sertifikaatpaaie, luisteraarsdefinisies en die DNS- en brandmuurinskrywings wat die diens bereikbaar maak. As 'n herstel 'n lêer sou nodig hê wat jy nie gestoor het nie, is die kontrolepunt onvolledig.

Noem die eienaar van elke instelling terwyl die stelsel nog gesond is. 'n Roete wat deur die verskafferpaneel geïnstalleer is, een wat deur die gasheerbrandmuur bygevoeg is en een wat na kliënte gestuur word, is drie verskillende objekte, en om die verkeerde een te herstel laat die ander twee in plek. 'n Kort tabel van instelling, eienaar en lêerpad is genoeg.

Hou herroepings apart van die konfigurasie

'n Ou konfigurasie kan 'n toestel wat jy doelbewus verwyder het, stilweg weer koppel, wat 'n herstel in 'n sekuriteitsagteruitgang verander. Bewaar die huidige herroepingslys en gedeaktiveerde rekeninge terwyl jy die netwerkbeleid herstel, en pas hulle dan weer toe voordat die diens kliënte aanvaar.

Behandel identiteitstoestand as sy eie terugrol met sy eie bewyse. Sertifikaatherroepingslêers, rekeningdeaktivering en MFA-inskrywing woon selde op dieselfde plek as die daemon-konfigurasie, en 'n konfigurasieherstel sal hulle nie raak nie. Kyk eers na die huidige toestand sodat jy weet wat moet oorleef. Bevestig ná die herstel dat die verwyderde identiteit steeds nie kan koppel nie.

Bereik die gasheer wanneer die tonnel faal

Maak 'n pad na die masjien oop wat nie van die komponent afhang wat verander word nie. 'n Hipervisorkonsole, 'n bestuursadres op 'n aparte koppelvlak of 'n reekskonsole kwalifiseer almal; 'n SSH-sessie wat deur die tonnel gedra word, nie. As die enigste manier in die VPN is wat jy op die punt is om te herbegin, verwyder 'n slegte roete of brandmuurreël jou vermoë om dit reg te stel. Toets die alternatiewe pad voor die verandering, nie daarna nie. Meld een keer daardeur aan, bevestig dat sudo werk en noteer die presiese adres wat jy gebruik het.

Die toets is eenvoudig: bring die tonnel af terwyl jy oor die alternatiewe pad gekoppel is en kyk of die sessie oorleef. As dit val, het jy die fout gevind voordat dit jou kan vastrek.

Pas een wysiging toe en weet wanneer dit in werking tree

Gebruik die herlaai- of herbegin-dokumentasie van die diens en vind uit watter richtlyne op watter oomblik gelees word. Sommige waardes geld by herlaai, ander eers wanneer 'n nuwe sessie of proses begin, so die redigering van 'n lêer bewys niks oor die lopende toestand nie. Herstel 'n enkele wysiging eerder as om 'n nuwe lêer met ou looptydtoestand te vermeng. As jy twyfel, is 'n volle herbegin van die diens makliker om te beredeneer as 'n gedeeltelike herlaai.

Kontroleer die eenheidsdefinisie voordat jy kies: systemctl show -p ExecReload openvpn@server vertel jou of daar hoegenaamd 'n herlaaihaak bestaan. Pas dan die wysiging toe en lees die joernaal vir die eerste nuwe foute voordat jy iets anders verander.

Verifieer, teken aan en ondersoek daarna

Koppel een gemagtigde kliënt en oefen waarvoor die diens bedoel is: naamoplossing, 'n herkoppeling en die toepassing wat gefaal het. Bevestig dat die herroepte identiteit steeds geweier word. Teken die wysiging aan wat jy herstel het, die tyd en die rede, want die volgende operateur sal al drie nodig hê. 'n Terugrol wat niemand gedokumenteer het nie, word 'n raaisel die volgende keer dat die diens hom misdra.

systemctl status openvpn@server --no-pager
journalctl -u openvpn@server -n 50 --no-pager

Sodra die diens stabiel is, reproduseer die mislukte verandering op 'n gasheer of momentopname wat jy kan weggooi. Dit skei 'n slegte konfigurasie van 'n slegte pakket of 'n vervalde sertifikaat. Hou die herstelde konfigurasie onder weergawebeheer sodat die volgende kontrolepunt van 'n bekende commit begin. Die punt van die oefening is 'n gedokumenteerde eindpunt, nie 'n permanente afgradering nie.