VPN sunucusu konfiqurasiyasını təhlükəsiz şəkildə geri qaytarmaq

Serveri geri qaytarmaq hansı qatın sıradan çıxdığına dair qərardır, fayl köçürmə məşqi deyil. Konfiqurasiya, etimadnamələr və paket versiyaları ayrı saatlarla hərəkət edir və birini bərpa edib digərlərini cari saxladıqda sağlam görünən, lakin qeyri-sabit davranan server yaranır. Aşağıdakı ardıcıllıq dəyişikliyin artıq səhv getdiyini fərz edir və sizdən ən kiçik uyğun vəziyyəti bərpa etməyi xahiş edir. Onu sıra ilə icra edin və zolaqdan kənar giriş yoxlamasını heç kimin atlamamalı olduğu addım sayın.

Həqiqətən bərpa edə biləcəyiniz yoxlama nöqtəsi yaradın

Xidmətin başlanğıcda oxuduğu konfiqurasiyanı və onu sonuncu dəfə təhlil edən versiyanı birlikdə qeyd edin. Köhnə buraxılışda təmiz yüklənən fayl yenilənmədən sonra rədd edilə və ya səssizcə nəzərə alınmaya bilər, ona görə versiya həmin qeydə aiddir. Konfiqurasiyanın işarə etdiyi materialı da daxil edin: şəxsi açarlar, sertifikat yolları, dinləyici tərifləri və xidməti əlçatan edən DNS və firewall qeydləri. Əgər bərpa üçün saxlamadığınız fayl lazım olacaqsa, yoxlama nöqtəsi natamamdır.

Sistem hələ sağlam ikən hər parametrin sahibini adlandırın. Provayder panelinin quraşdırdığı marşrut, server firewall-unun əlavə etdiyi marşrut və müştərilərə ötürülən marşrut üç fərqli obyektdir və səhv olanı bərpa etmək digər ikisini yerində saxlayır. Parametr, sahib və fayl yolu göstərən qısa cədvəl kifayətdir.

Ləğvetmələri konfiqurasiyadan ayrı saxlayın

Köhnə konfiqurasiya qəsdən çıxardığınız cihazı səssizcə yenidən qoşa bilər, bu da bərpanı təhlükəsizlik geriləməsinə çevirir. Şəbəkə siyasətini bərpa edərkən cari ləğvetmə siyahısını və deaktiv edilmiş hesabları qoruyun, sonra xidmət müştəriləri qəbul etməzdən əvvəl onları yenidən tətbiq edin.

Şəxsiyyət vəziyyətinə öz sübutları olan ayrıca geri qaytarma kimi baxın. Sertifikat ləğvi faylları, hesabın deaktiv edilməsi və MFA qeydiyyatı nadir hallarda daemon konfiqurasiyası ilə eyni yerdə olur və konfiqurasiya bərpası onlara toxunmur. Əvvəlcə cari vəziyyəti yoxlayın ki, nəyin sağ qalmalı olduğunu biləsiniz. Bərpadan sonra çıxarılmış şəxsiyyətin hələ də qoşula bilmədiyini təsdiqləyin.

Tunnel sıradan çıxdıqda serverə çatın

Dəyişdirilən komponentdən asılı olmayan bir yol açın. Hipervisor konsolu, ayrı interfeysdə idarəetmə ünvanı və ya seriya konsolu hamısı yararlıdır; tunnel vasitəsilə daşınan SSH sessiyası isə deyil. Əgər içəri girməyin yeganə yolu yenidən başlatmaq üzrə olduğunuz VPN-dirsə, səhv marşrut və ya firewall qaydası onu düzəltmək imkanınızı əlindən alır. Alternativ yolu dəyişiklikdən əvvəl yoxlayın, sonra deyil. Onun vasitəsilə bir dəfə daxil olun, sudo-nun işlədiyini təsdiqləyin və istifadə etdiyiniz dəqiq ünvanı qeyd edin.

Test sadədir: alternativ yol üzərindən qoşulmuş halda tunnelu aşağı salın və sessiyanın davam edib-etmədiyinə baxın. Əgər düşərsə, nasazlığı sizi çıxılmaz vəziyyətə salmadan əvvəl tapmısınız.

Bir düzəliş tətbiq edin və nə vaxt qüvvəyə mindiyini bilin

Xidmətin reload və ya restart sənədlərindən istifadə edin və hansı direktivlərin hansı anda oxunduğunu öyrənin. Bəzi dəyərlər reload zamanı qüvvəyə minir, digərləri yalnız yeni sessiya və ya proses başlayanda, ona görə faylın redaktəsi işləyən vəziyyət haqqında heç nə sübut etmir. Yeni faylı köhnə işləmə vəziyyəti ilə qarışdırmaq əvəzinə tək bir düzəlişi bərpa edin. Şübhə olduqda xidmətin tam yenidən başladılması qismən reload-dan daha asan düşünülür.

Seçim etməzdən əvvəl unit tərifini yoxlayın: systemctl show -p ExecReload openvpn@server reload qarmağının ümumiyyətlə mövcud olub-olmadığını deyir. Sonra düzəlişi tətbiq edin və başqa heç nəyi dəyişməzdən əvvəl jurnalda ilk yeni xətaları oxuyun.

Yoxlayın, qeyd edin və sonra araşdırın

Bir icazəli müştərini qoşun və xidmətin nə üçün olduğunu sınayın: ad həlli, yenidən qoşulma və sıradan çıxmış tətbiq. Ləğv edilmiş şəxsiyyətin hələ də rədd edildiyini təsdiqləyin. Bərpa etdiyiniz düzəlişi, vaxtı və səbəbi qeyd edin, çünki növbəti operatorun üçünə də ehtiyacı olacaq. Heç kimin sənədləşdirmədiyi geri qaytarma, xidmət növbəti dəfə qeyri-normal davrandıqda sirrə çevrilir.

systemctl status openvpn@server --no-pager
journalctl -u openvpn@server -n 50 --no-pager

Xidmət sabitləşdikdən sonra uğursuz dəyişikliyi atıla bilən serverdə və ya snapshot-da təkrarlayın. Bu, pis konfiqurasiyanı pis paketdən və ya vaxtı keçmiş sertifikatdan ayırır. Bərpa edilmiş konfiqurasiyanı versiya nəzarətində saxlayın ki, növbəti yoxlama nöqtəsi tanınmış commit-dən başlasın. Məşqin məqsədi sənədləşdirilmiş son nöqtədir, daimi geriləmə deyil.