GCE VPN dəyişikliyindən əvvəl seriya bərpa yolu hazırlayın

Eyni interfeysdə ikinci SSH pəncərəsi bərpa yolu deyil. O, dəyişmək üzrə olduğunuz marşrutu, firewall qaydasını və demonu paylaşır, ona görə də məhz ona ehtiyac duyduğunuz anda sıradan çıxır. Compute Engine VM-də VPN marşrutlarını redaktə etməzdən əvvəl üç ayrı şeyi sübut edin: seriya konsolundan istifadə edə biləcəyinizi, onun çıxışını oxuya biləcəyinizi və qonağın sizə həqiqətən giriş verəcəyini. Aşağıdakı yoxlamalar bu ardıcıllıqla, ən ucuzdan başlayaraq aparılır ki, çatışmayan icazə vacib olmadan əvvəl aşkar edilsin.

Addım 1: bulud tərəfindəki icazəni təsdiqləyin

Dəqiq VM-i, layihəni və zonanı göstərin, sonra təşkilatın təsdiqlənmiş seriya girişi siyasətini yoxlayın. Administratorun müvafiq icazəyə ehtiyacı var və qüvvədə olan layihə və təşkilat nəzarətləri altında həmin instans üçün interaktiv seriya girişi aktivləşdirilməlidir.

Bir maşını hazırlamaq üçün təşkilat siyasətini zəiflətməyin və ya konsol girişini bütün layihə boyunca açmayın. Sahibindən icazə verilən mexanizmi eksperimentdən əvvəl, kəsinti zamanı deyil, təşkil etməsini xahiş edin.

Addım 2: çıxışı oxuya bildiyinizi sübut edin

Seriya çıxışını oxumaq ən ucuz yoxlamadır və qonağın girişinə toxunmadan daşıyıcını sınaqdan keçirir:

gcloud compute instances get-serial-port-output VM_NAME \
    --project PROJECT_ID --zone ZONE --port 1

İdentifikatorları əvəz edin və icazə verilən portdan istifadə edin. Yükləmə mesajları və konsol söhbətləri kanalın işlədiyini bildirir. Onlar shell əldə edə bildiyinizi sübut etmir. Buna görə də bu addım növbətidən ayrıdır.

Addım 3: interaktiv giriş əldə edə bildiyinizi sübut edin

Bağlantı əmri önizləmə deyil, real sessiya açır:

gcloud compute connect-to-serial-port VM_NAME \
    --project PROJECT_ID --zone ZONE --port 1

Ona canlı konsol kimi yanaşın. Etimad məlumatlarını yazmazdan əvvəl son nöqtəni təsdiqləyin, çünki hər düymə vuruşu instansa düşür.

Tam görünən plan məhz burada dağılır. Bulud icazəsi bir sərhəddir, Linux giriş promptu isə başqa biri və birincini keçmək ikinci barədə heç nə demir.

Addım 4: qonağın qəbul edəcəyi etimad məlumatlarını hazırlayın

Google tərəfindən verilən Linux obrazları standart olaraq yerli parol əsaslı girişi aktivləşdirmir. Buna görə seriya sessiyası giriş promptuna çatıb orada dayana bilər və heç kimin təyin etmədiyi etimad məlumatını gözləyə bilər.

Təsdiqlənmiş bərpa hesabı və ya yerləşdirmənizin istifadə etdiyi sənədləşdirilmiş qonaq girişi üsulu mövcud olmalı və sınaqdan keçirilməlidir. Şəbəkə üzərindən işləyən SSH açarı konsol parol promptunu avtomatik ödəmir, ona görə də bu halı əhatə etdiyini güman etmək əvəzinə faktiki OS Login və açar tənzimləməsini yoxlayın.

Bərpa etimad məlumatlarını məxfi saxlayın. Açıq startup-script nümunəsinə yapışdırılmış root parolu baş verəcək ikinci hadisədir.

Addım 5: sahibi və geri qaytarmanı qeyd edin

Hər hansı dəyişiklik etməzdən əvvəl işlək şəbəkə konfiqurasiyasını qoruyun və onu kimin idarə etdiyini, hansı VPN xidmətinin iştirak etdiyini və geri qaytarmanın necə aparıldığını yazın. İşlək sessiyadan cari marşrutları, qaydaları və xidmət vəziyyətini götürün.

Məhz bu qeyd bərpa kanalını təmirə çevirir, çünki konsol sizə yalnız prompt verir. Onu dəyişiklikdən əvvəl yazın, sonra yaddaşdan deyil. Vikidən köçürülmüş geri qaytarma geri qaytarma deyil. O, versiya nömrəsi olan bir təxmindir.

Addım 6: dəyişiklikdən sonra yoxlayın

Mövcud SSH sessiyası yenilərini bloklayan siyasətdən sağ çıxa bilər, ona görə də təzə normal inzibati sessiya ilə sınaqdan keçirin. Sonra dəyişdiyiniz VPN davranışını ayrıca yoxlayın.

Hər iki yoxlama keçənə qədər bərpa kanalını açıq saxlayın və sonra giriş siyasətinə uyğun olaraq bağlayın. Əgər SSH artıq itirilibsə və konsol girişi hazırlanmayıbsa, seriya girişini təhlükəsizlik şəbəkəsi kimi görməyi dayandırın və icazəli hesab bərpası və ya instans təmiri iş axınına başlayın. Başqa VM-i jump host kimi qurmaq nə qonağın yolunu, nə də çatışmayan etimad məlumatlarını bərpa etmir.