كيفية التخطيط للتراجع عن جهاز التوجيه VPN قبل التغيير عن بعد

أنت على وشك تحرير النفق الذي يحمل جلستك الخاصة، وبالتالي فإن العمل الذي ينقذك يحدث قبل التغيير، وليس أثناء التدافع بعده. شبكة الأمان ليست موجودة في صفحة VPN: إنها شاشة الاستعادة، أو وحدة التحكم، أو المسار الثاني الذي لا يعمل عبر الجهاز الذي تقوم بتحريره. أخطط الثلاثة جميعًا على نفس واجهة جهاز التوجيه التي أنا على وشك تحريرها، وأستخدم المسار مرة واحدة بينما لا يزال كل شيء يعمل. هذه هي الإرشادات التي أتبعها بالترتيب.

قم بالسير في عملية الاستعادة قبل أن تحتاج إليها

افتح الصفحة التي من شأنها التراجع عن التغيير الذي أجريته. على pfSense وهو التشخيص > النسخ الاحتياطي والاستعادة؛ في OpenWrt، يكون System > Backup / Flash Firmware؛ في OPNsense، يكون النظام > التكوين > النسخ الاحتياطية، والذي يحتفظ أيضًا بالمراجعات السابقة التي يمكنك الرجوع إليها بدون ملف. أنت لا تقوم باستعادة أي شيء بعد. أنت تتحقق مما إذا كانت هذه الصفحة تفتح من المسار الذي ستحصل عليه أثناء التغيير، وما إذا كانت تريد إعادة التشغيل بعد ذلك، وما إذا كانت ترفض أرشيفًا مكتوبًا بواسطة إصدار مختلف للبرنامج الثابت. يقوم Netgate بتوثيق تدفق التصدير والاستعادة الخاص به في docs.netgate.com.

تؤدي عملية الاستعادة إلى تبديل التكوين بالكامل، لذا فهي لا تمثل تراجعًا عن قاعدة واحدة. يحمل الأرشيف المستخدمين والشهادات ومفاتيح VPN وقواعد جدار الحماية وإعدادات واجهة المسؤول التي تقرر من يمكنه تسجيل الدخول. ولهذا السبب أقوم بالتصدير مباشرة قبل التغيير وتسمية الملف بالتاريخ والإعداد الفردي الذي أنوي لمسه. تؤدي استعادة ملف عمره شهر أيضًا إلى استعادة نفق عمره شهر ومفتاح عمره شهر.

إذا كان النظام الأساسي يقوم فقط بتحميل الأرشيفات من نفس الإصدار، فلاحظ ذلك الآن: ترقية البرنامج الثابت بالإضافة إلى تحرير VPN في نافذة واحدة يجعلك تحتفظ بملف لن يقبله جهاز التوجيه.

إثبات طريقة في أن يتخطى النفق

لا تعد جلسة SSH ثانية من نفس الكمبيوتر المحمول إلى نفس العنوان العام مسارًا ثانيًا؛ كلاهما يموتان معًا. المسار المستقل هو أحد هذه العناصر: وحدة تحكم تسلسلية أو KVM، أو برنامج Hypervisor أو وحدة تحكم سحابية، أو شبكة VLAN للإدارة يمكن الوصول إليها من مضيف ليس خلف النفق، أو مودم WAN أو LTE ثانٍ بقاعدته الإدارية الخاصة، أو شخص في الموقع.

اختبر المسار المختار عندما يكون جهاز التوجيه سليمًا. قم بتسجيل الدخول من خلاله، وافتح صفحة VPN، وتوقف قبل الحفظ. إذا كانت قاعدة القفل تسمح لها فقط بالوصول إلى لوحة المعلومات، فلا يزال لديك الوقت لإصلاح ذلك، ويجب أن يكون التصحيح أعلى قاعدة الرفض في ترتيب القواعد.

تقوم معظم أجهزة التوجيه بربط خدمة الإدارة بواجهة أو مجموعة عناوين، لذلك يجب أن يصل المسار خارج النطاق حيث تستمع تلك الخدمة. إن توسيع ربط النافذة يعمل بالفعل، ولكنه بحد ذاته تغيير في المسار الذي تعتمد عليه.

قم بتصدير الملف وكتابة المشغل

انقل التصدير من جهاز التوجيه وبعيدًا عن الجهاز الذي قد يفقد نفقه. تختفي النسخة الاحتياطية المخزنة على نظام ملفات جهاز التوجيه في حالة الفشل الذي تخطط له تمامًا، كما أن وجود نسخة احتياطية على الكمبيوتر المحمول على وشك فقدان الاتصال ليس أفضل.

تعامل مع هذا الملف باعتباره بيانات اعتماد. فهو يحتوي على مفاتيح خاصة، وأسرار تمت مشاركتها مسبقًا، ومواد الشهادة، وتجزئة كلمة المرور، لذا قم بتشفيرها أو تخزينها بنفس العناية التي تتبعها عند تسجيل دخول جهاز التوجيه.

ثم اكتب جملة واحدة: إذا لم أتمكن من فتح جلسة إدارة جديدة من PATH خلال N دقيقة من التغيير، فسوف أقوم باستعادة الملف وإعادة التشغيل. الجملة تفرض النطاق على متغير واحد. تعد عمليات تحرير المسار وDNS وجدار الحماية التي يتم تنفيذها معًا سريعة الحفظ وبطيئة التقسيم عندما تحصل على محاولة أخرى.

استخدم مؤقت الالتزام حيث يوجد بالمنصة واحد

ستقوم العديد من الأنظمة الأساسية بالتراجع عن التغيير نيابةً عنك إذا فشلت في تأكيده. يعمل الوضع الآمن لـ RouterOS، الذي تم إدخاله باستخدام Ctrl+X في الجهاز الطرفي، على إرجاع التغييرات التي تم إجراؤها في تلك الجلسة عند انقطاع الجلسة. يتراجع Junos عن التزام غير مؤكد مؤكد. يتم إعادة تحميل أزواج Cisco IOS مع إلغاء إعادة التحميل. عادةً ما تقوم جدران الحماية الخاصة بالمؤسسات بتنظيم التغييرات المعلقة باستخدام مؤقت الرجوع التلقائي. ليس لدى OpenWrt ومعظم البرامج الثابتة الاستهلاكية أي شيء مكافئ، لذلك يجب أن يكون المؤقت خارجيًا: استعادة مجدولة، أو مهمة cron تقوم بتبديل ملف مرة أخرى وإعادة تشغيل الخدمة، أو إعادة التشغيل في التكوين السابق.

لا تفترض أن الميزة ذات الاسم المماثل تغطي نفس النطاق. قد تغطي العودة التلقائية لمنتج واحد قواعد جدار الحماية فقط؛ وقد يغطي آخر التكوين بأكمله، بما في ذلك قاعدة الإدارة التي قمت بتغييرها للتو لتظل في متناولك. اقرأ ما يعود به الموقّت قبل الاعتماد عليه.

لا يعد المؤقت بديلاً عن الملف الذي تم تصديره. إنه يفشل في الحالة الأكثر أهمية هنا: تستمر الجلسة، ولا يستمر مستوى الإدارة، ولا شيء يؤدي إلى العودة على الإطلاق.

اختبر الاتصال الجديد، وليس المفتوح

غالبًا ما تستمر الجلسة المنشأة في العمل من خلال التغييرات التي تمنع كل مصافحة جديدةلأن حالته موجودة بالفعل ويتم تقييم السياسة عند إنشاء الاتصال. بعد التغيير، أنشئ اتصالات جديدة من الجانب البعيد: جلسة SSH جديدة، ومصافحة VPN جديدة من العميل، وتحميل صفحة عادية إلى عنوان الشبكة المحلية (LAN) لجهاز التوجيه.

# run these from the remote machine, in a new shell
ssh -o ConnectTimeout=8 admin@"$ROUTER_WAN"
nc -vz "$ROUTER_WAN" 443
dig +short example.internal "@$ROUTER_LAN"

ثم قم بإجراء اختبار أسفل النفق بدلاً من النفق نفسه: تحليل الاسم، واتصال TCP بخدمة داخلية، والتطبيق الذي تستخدمه بالفعل. يبدو النفق الذي ينشئ نظام DNS قابل للاستخدام ولكنه لا يوزعه سليمًا في حالة العميل ومعطلاً في المتصفح، ويقرر هذا الاختلاف ما إذا كنت ستستعيد الملف أو تصلح قاعدة واحدة.

كرر ذلك بعد قطع الاتصال القسري وإعادة الاتصال، ومرة أخرى بعد إعادة التشغيل إذا أعاد النظام الأساسي تطبيق الحالة عند التمهيد. تجتاز بعض التكوينات كل اختبار مباشر وتفشل عند التشغيل الأول مع تطبيق القواعد الجديدة.

أغلق الأبواب التي فتحتها للنافذة

قم بإزالة قاعدة المسؤول المؤقتة لأي مصدر، والحساب المهمل، والربط الموسع، وقاعدة DNS المسموح بها، وتسجيل التصحيح. تعد عملية الإزالة هذه في حد ذاتها تغييرًا في المسار الذي تعتمد عليه، لذا أعد تشغيل اختبار الاتصال الجديد بعد ذلك، من الجانب البعيد.

احتفظ بالملف الذي تم تصديره حتى يتم التغيير بعد إعادة التشغيل وإعادة الاتصال بالعميل الحقيقي، ثم قم بتدوير أي شيء قمت بمشاركته أثناء فتح النافذة. يعد التكوين الذي يعمل حتى التمهيد التالي طريقة هادئة لفقد جهاز التوجيه بعد أسبوع، عندما لا يتذكر أحد القاعدة التي كانت مؤقتة.

اكتب التغيير في المكان الذي سيظهر فيه الشخص التالي: ما الذي تم نقله، وأي ملف يتراجع عنه، وما هو المسار الذي يصل إلى وحدة التحكم، وما هي القاعدة المؤقتة.

قبل أن تفتح صفحة VPN، يجب أن تكون هناك أربعة أشياء: تدفق الاستعادة الذي قمت باختباره، والمسار الثاني الذي أثبتته، وملف مُصدَّر يمكنك الوصول إليه بالفعل، ومشغل مكتوب. إذا كان أي شخص مفقود، قم بإصلاحه أولاً. يمكن أن ينتظر التغيير لمدة ساعة؛ لا يمكن الإغلاق.