Toegang tot jou VPN-bediener verloor: hou ’n tweede pad oop

Jy maak die konsole oop, verander een firewall-reël, en die tonnel waardeur jy verbind was, verdwyn. Die verandering was korrek, die herlaai nie, en nou is die enigste roete terug na die masjien die een wat jy pas gebreek het. ’n Tweede manier in is ’n ontwerpbesluit, en dit moet voor die onderbreking bestaan, nie tydens dit nie.

Gaan deur wat jy nog het

Begin by die konsoleskerm voor jou en lys die paaie wat nie van die tonnel afhang nie. ’n Verskaffer se webkonsole met ’n seriële of VNC-sessie is een. ’n Bestuurskoppelvlak op ’n aparte netwerk is nog een. Fisiese toegang is ’n derde, en dit is die een wat mense op die slegste oomblik ontdek weg is.

Lees die derde kolom as ’n foutlys eerder as ’n abstraksie. Twee van daardie paaie faal gewoonlik om dieselfde rede. Die tabel is hoe jy dit raaksien voordat ’n onderbreking dit vir jou verduidelik.

Onafhanklikheid is ’n vraag van afhanklikheid

’n Herstelrekening is nie onafhanklik as sy wagwoord in ’n diens gestoor is wat jy deur die tonnel bereik nie. ’n Tweede VPN op dieselfde gasheer, dieselfde poort en dieselfde firewall-beleid is ook nie onafhanklik nie, want die verandering wat die eerste een gebreek het, breek albei.

Stap die ketting af en benoem wat elke stap nodig het. Netwerkbereikbaarheid, naamoplossing, ’n verifikasiiebron en die bestuursdiens self is vier afsonderlike afhanklikhede, en ’n pad wat enigeen daarvan deel, erf daardie faling.

Die nooit-getoetste pad verdien sy eie agterdog. ’n Konsole wat maande lank nie oopgemaak is nie, kan ’n wagwoordherstel per e-pos vereis, en daardie posbus kan op die masjien gehuisves word wat jy nie kan bereik nie. Toets die pad terwyl alles werk, en jy vind dit op ’n rustige middag.

Gebruik die tweede pad vir een beheerde verandering

Neem vanaf die konsole ’n momentopname of kopieer die konfigurasie wat jy op die punt is om te wysig. Verander een ding. Herlaai die diens en lees die resultaat voordat jy aan iets anders raak, want twee veranderinge op een slag maak van ’n herstel ’n eksperiment.

Hou die herstelsessie oop terwyl jy dit doen. Die hele waarde van die tweede pad is dat dit die ding oorleef wat jy verander, dus verwyder jy die enigste eienskap wat dit nuttig gemaak het as jy dit eerste sluit.

Verifieer vanaf die herstelpad, nie uit geheue nie

Die kontrole wat saak maak, is of die normale pad terugkom, en die herstelsessie is waar jy dit in volgorde bevestig:

systemctl status openvpn-server@server --no-pager
ss -lntup | grep -E ':(1194|443)\b'
nft list ruleset | sed -n '1,40p'
journalctl -u openvpn-server@server --since '-10 min' --no-pager | tail -n 30

Lees eers die diensstatus, dan die luisteraar, dan die reëls, dan die joernaal. ’n Diens wat loop sonder ’n luisteraar wys na die dienskonfigurasie, terwyl ’n luisteraar sonder bereikbare reëls na filtering wys. Die volgorde maak saak omdat elke stap die volgende vernou, en om na die joernaal te spring beteken gewoonlik om foute te lees wat die simptoom eerder as die oorsaak beskryf.

Die systemctl-dokumentasie dek die status- en herlaaigedrag wat hier gebruik word, insluitend hoe ’n mislukte herlaai die vorige proses aan die loop laat. Om ’n samehangende weergawe te herstel, is beter as om herhaaldelik te herverbind vanaf ’n kliënt wat nie die bediener kan herstel nie. As die terugrolvoorwaarde wat jy voor die verandering gedefinieer het, nagekom is, herstel en stop.

Hou die inventaris by

Hersien die toegangslys wanneer mense of infrastruktuur verander. Toets die herstelpad terwyl alles werk. Onttrek die rekeninge wat niemand sedert die laaste herorganisasie gebruik het nie. Twee verouderde rekeninge en een vervalle sertifikaat is ’n klein skoonmaak op ’n Dinsdag en ’n onderbreking op ’n Sondag.

Teken aan wie elke pad kan gebruik, wat dit toelaat en hoe die geloofsbriewe geroteer word. ’n Herstelpad sonder ’n eienaar word ’n vergete ingang, wat ’n ander soort faling is as om buitengesluit te wees.