Hoe om 'n router-VPN-terugrol te beplan voor 'n afstandverandering

Jy is op die punt om die tonnel te redigeer wat jou eie sessie dra, so die werk wat jou red gebeur voor die verandering, nie tydens die geskarrel daarna nie. Die veiligheidsnet is nie op die VPN-bladsy nie: dit is die herstelskerm, 'n konsole of 'n tweede pad wat nie deur die toestel loop wat jy redigeer nie. Ek beplan al drie op dieselfde router-koppelvlak wat ek op die punt staan om te redigeer, en ek gebruik die pad een keer terwyl alles nog werk. Dit is die deurloop wat ek volg, in volgorde.

Loop die herstelvloei voor jy dit nodig het

Maak die bladsy oop wat jou verandering sal ongedaan maak. Op pfSense is dit Diagnostiek > Rugsteun en herstel; op OpenWrt is dit System > Backup / Flash Firmware; op OPNsense is dit System > Configuration > Backups, wat ook vorige hersienings hou waarna jy kan terugkeer sonder 'n lêer. Jy herstel nog niks nie. Jy kyk of daardie bladsy oopmaak vanaf die pad wat jy tydens die verandering sal hê, of dit daarna wil herselflaai en of dit 'n argief wat deur 'n ander firmwarevrystelling geskryf is, verwerp. Netgate dokumenteer sy eie uitvoer- en herstelvloei by docs.netgate.com.

'n Herstel ruil die hele konfigurasie om, so dit is nie 'n ongedaan vir een reël nie. Die argief bevat gebruikers, sertifikate, VPN-sleutels, brandmuurreëls en die admin-koppelvlak-instellings wat besluit wie mag aanmeld. Dit is hoekom ek onmiddellik voor die verandering uitvoer en die lêer benoem met die datum en die enkele instelling wat ek van plan is om aan te raak. Die herstel van 'n maand-oue lêer herstel ook 'n maand-oue tonnel en 'n maand-oue sleutel.

As die platform slegs argiewe vanaf dieselfde vrystelling laai, let daarop nou: 'n firmware-opgradering plus 'n VPN-wysiging in een venster laat jou 'n lêer hou wat die router nie sal aanvaar nie.

Bewys 'n manier wat die tonnel oorslaan

'n Tweede SSH-sessie van dieselfde skootrekenaar na dieselfde publieke adres is nie 'n tweede pad nie; albei sterf saam. Die onafhanklike pad is een hiervan: 'n reeks- of KVM-konsole, 'n hiperviser of wolkkonsole, 'n bestuurs-VLAN wat bereik kan word vanaf 'n gasheer wat nie agter die tonnel is nie, 'n tweede WAN- of LTE-modem met sy eie administratiewe reël, of 'n persoon op die perseel.

Toets die gekose pad terwyl die router gesond is. Meld daaroor aan, maak die VPN-bladsy oop en stop voordat u dit stoor. As 'n afsluitreël dit net die dashboard laat bereik, het jy nog tyd om dit reg te stel, en die regstelling moet bo die weieringsreël in die reëlvolgorde sit.

Die meeste routers bind die administrasiediens aan 'n koppelvlak of 'n adresfamilie, so 'n buitebandroete moet aankom waar daardie diens luister. Die verbreding van die binding vir die venster werk wel, maar dit is self 'n verandering aan die pad waarop jy staatmaak.

Voer die lêer uit en skryf die sneller

Skuif die uitvoer van die router af en van die masjien af wat sy tonnel kan verloor. 'n Rugsteun wat op die router-lêerstelsel gestoor is, verdwyn in presies die mislukking waarvoor jy beplan, en een wat op die skootrekenaar sit wat op die punt is om konneksie te verloor, is skaars beter.

Behandel daardie lêer as 'n geloofsbrief. Dit hou privaat sleutels, voorafgedeelde geheime, sertifikaatmateriaal en wagwoord-hashes, dus enkripteer dit of stoor dit met dieselfde sorg as die router-aanmelding.

Skryf dan een sin: as ek nie 'n nuwe bestuursessie van PATH binne N minute na die verandering kan oopmaak nie, herstel ek LêER en herlaai ek. Die sin dwing die omvang af na een veranderlike. Roete-, DNS- en firewall-wysigings wat saam aangebring is, is vinnig om te stoor en stadig om te halveer wanneer jy nog een poging kry.

Gebruik 'n commit timer waar die platform een het

Verskeie platforms sal die verandering vir jou ongedaan maak as jy dit nie bevestig nie. RouterOS Veilige modus, wat met Ctrl+X in 'n terminaal ingevoer word, herstel die veranderinge wat in daardie sessie gemaak is wanneer die sessie daal. Junos rol 'n onbevestigde verbintenis wat bevestig is terug. Cisco IOS-pare herlaai in met herlaai kanselleer. Ondernemingsbrandmure voer gewoonlik hangende veranderinge aan met 'n outomatiese terugskakeltydteller. OpenWrt en die meeste verbruikersfirmware het niks ekwivalent nie, so daar moet die timer ekstern wees: 'n geskeduleerde herstel, 'n cron-taak wat 'n lêer terugruil en die diens herbegin, of 'n herlaai na die vorige konfigurasie.

Moenie aanvaar dat 'n soortgelyke kenmerk dieselfde omvang dek nie. Een produk se outo-terugstelling kan slegs firewall-reëls dek; 'n ander kan die hele konfigurasie dek, insluitend die bestuursreël wat jy pas verander het om jouself bereikbaar te hou. Lees wat die timer terugskakel voordat jy daarop staatmaak.

'n Afteller is geen plaasvervanger vir 'n uitgevoer lêer nie. Dit misluk in die geval wat hier die meeste saak maak: die sessie oorleef, die bestuursvliegtuig nie, en niks veroorsaak ooit die terugkeer nie.

Toets 'n splinternuwe verbinding, nie die oop een nie

’n Gevestigde sessie bly dikwels deur veranderinge werk wat elke nuwe handdruk blokkeer, want die toestand daarvan bestaan reeds en beleid word geëvalueer wanneer 'n verbinding geskep word. Na die verandering, skep nuwe verbindings vanaf die afgeleë kant: 'n vars SSH-sessie, 'n nuwe VPN-handdruk van 'n kliënt, 'n normale bladsylaai na die router LAN-adres.

# run these from the remote machine, in a new shell
ssh -o ConnectTimeout=8 admin@"$ROUTER_WAN"
nc -vz "$ROUTER_WAN" 443
dig +short example.internal "@$ROUTER_LAN"

Toets dan stroomaf van die tonnel eerder as die tonnel self: naamresolusie, 'n TCP-verbinding met 'n interne diens, en die toepassing wat jy eintlik gebruik. 'n Tonnel wat tot stand bring, maar geen bruikbare DNS uitdeel nie, lyk gesond in die kliëntstatus en stukkend in die blaaier, en daardie verskil bepaal of jy die lêer herstel of een reël regstel.

Herhaal na 'n gedwonge ontkoppeling en herkoppel, en nog een keer na 'n herselflaai as die platform hertoepas by die selflaai. Sommige konfigurasies slaag elke lewende toets en misluk met die eerste selflaai met die nuwe reëls in plek.

Maak die deure toe wat jy vir die venster oopgemaak het

Verwyder die tydelike enige-bron-administrasiereël, die weggooi-rekening, die verruimde binding, die permissiewe DNS-reël en die ontfout-aantekening. Daardie verwydering is self 'n verandering op die pad waarop jy staatmaak, so herhaal die varsverbindingstoets daarna, vanaf die afgeleë kant.

Hou die uitgevoer lêer totdat die verandering 'n herlaai en 'n werklike kliënt herkoppel oorleef het, draai dan enigiets wat jy gedeel het terwyl die venster oop was. 'n Konfigurasie wat werk tot die volgende selflaai is 'n stil manier om 'n router 'n week later te verloor, wanneer niemand onthou watter reël tydelik was nie.

Skryf die verandering neer waar die volgende persoon kyk: wat het geskuif, watter lêer maak dit ongedaan, watter pad bereik die konsole, en watter reël was tydelik.

Voordat jy die VPN-bladsy oopmaak, moet vier dinge bestaan: 'n herstelvloei wat jy getoets het, 'n tweede pad wat jy bewys het, 'n uitgevoerde lêer wat jy eintlik kan bereik, en 'n geskrewe sneller. As enige een ontbreek, maak dit eers reg. Die verandering kan 'n uur wag; 'n uitsluiting kan nie.