Uzaqdan Dəyişmədən əvvəl marşrutlaşdırıcının VPN geri qaytarılmasını necə planlaşdırmaq olar

Siz öz sessiyanızı aparan tuneli redaktə etmək üzrəsiniz, beləliklə, sizi xilas edən iş ondan sonrakı dırmaşma zamanı deyil, dəyişiklikdən əvvəl baş verir. Təhlükəsizlik şəbəkəsi VPN səhifəsində deyil: bu, bərpa ekranı, konsol və ya redaktə etdiyiniz cihazdan keçməyən ikinci yoldur. Mən üçü də redaktə etmək üzrə olduğum eyni marşrutlaşdırıcı interfeysində planlaşdırıram və hər şey hələ də işləyərkən yoldan bir dəfə istifadə edirəm. Bu, ardıcıl olaraq izlədiyim yoldur.

Ehtiyacınız olmamışdan əvvəl bərpa axını ilə gedin

Dəyişikliklərinizi ləğv edəcək səhifəni açın. pfSense-də Diaqnostika > Yedəkləmə və Bərpa; OpenWrt-də bu Sistem > Yedəkləmə / Flaş Firmware; OPNsense-də bu, Sistem > Konfiqurasiya > Yedəkləmələrdir ki, bu da fayl olmadan geri qaytara biləcəyiniz əvvəlki versiyaları saxlayır. Hələ heç nəyi bərpa etmirsiniz. Siz həmin səhifənin dəyişiklik zamanı əldə edəcəyiniz yoldan açılıb-açılmadığını, daha sonra yenidən yüklənmək istəyib-istəmədiyini və başqa proqram təminatı buraxılışı tərəfindən yazılmış arxivi rədd edib-etmədiyini yoxlayırsınız. Netgate öz ixracını sənədləşdirir və axını bərpa edir docs.netgate.com.

Bərpa bütün konfiqurasiyanı dəyişdirir, ona görə də bir qayda üçün geri qaytarılmır. Arxiv istifadəçiləri, sertifikatları, VPN açarlarını, təhlükəsizlik divarı qaydalarını və kimin daxil ola biləcəyinə qərar verən admin interfeysi parametrlərini daşıyır. Buna görə də dəyişiklikdən dərhal əvvəl faylı ixrac edir və toxunmaq istədiyim tarix və vahid parametrlə faylı adlandırıram. Bir aylıq faylın bərpası həm də bir aylıq tunel və bir aylıq açarı bərpa edir.

Platforma yalnız eyni buraxılışdan arxivləri yükləyirsə, indi qeyd edin: proqram təminatının təkmilləşdirilməsi və bir pəncərədə VPN redaktəsi marşrutlaşdırıcının qəbul etməyəcəyi faylı saxlamağınıza səbəb olur.

Tuneli atlayan bir yol göstərin

Eyni noutbukdan eyni ümumi ünvana ikinci SSH sessiyası ikinci yol deyil; ikisi birlikdə ölür. Müstəqil yol bunlardan biridir: serial və ya KVM konsolu, hipervizor və ya bulud konsolu, tunelin arxasında olmayan hostdan əldə edilə bilən idarəetmə VLAN-ı, öz inzibati qaydası olan ikinci WAN və ya LTE modem və ya saytda olan şəxs.

Router sağlam olarkən seçilmiş yolu sınayın. Bunun üzərindən daxil olun, VPN səhifəsini açın və saxlamadan əvvəl dayandırın. Əgər kilidləmə qaydası onun yalnız idarə panelinə çatmasına imkan verirsə, hələ də bunu düzəltmək üçün vaxtınız var və düzəliş qayda qaydasında inkar qaydasının üstündə oturmalıdır.

Əksər marşrutlaşdırıcılar idarəetmə xidmətini interfeysə və ya ünvan ailəsinə bağlayır, ona görə də diapazondan kənar marşrut həmin xidmətin dinlədiyi yerə çatmalıdır. Pəncərə üçün bağlamanın genişləndirilməsi işləyir, lakin bu, sizin asılı olduğunuz yola dəyişiklikdir.

Faylı ixrac edin və tətiyi yazın

Eksportu marşrutlaşdırıcıdan və tunelini itirə biləcək maşından çıxarın. Routerin fayl sistemində saxlanılan ehtiyat nüsxə məhz planlaşdırdığınız uğursuzluqla yox olur və əlaqəni itirmək üzrə olan noutbukda oturan biri daha yaxşıdır.

Həmin faylı etimadnamə kimi qəbul edin. O, şəxsi açarları, əvvəlcədən paylaşılan sirləri, sertifikat materialını və parol heşlərini saxlayır, ona görə də onu şifrələyin və ya marşrutlaşdırıcının girişi ilə eyni qayğı ilə saxlayın.

Sonra bir cümlə yazın: dəyişiklikdən sonra N dəqiqə ərzində PATH-dən yeni idarəetmə seansı aça bilməsəm, FAYLı bərpa edib yenidən işə salıram. Cümlə əhatə dairəsini bir dəyişənə endirir. Birlikdə edilən marşrut, DNS və firewall redaktələri tez yadda saxlanılır və daha bir cəhd etdiyiniz zaman iki hissəyə bölünür.

Platformanın olduğu yerdə öhdəçilik taymerindən istifadə edin

Təsdiq edə bilməsəniz, bir neçə platforma dəyişikliyi sizin üçün ləğv edəcək. Terminalda Ctrl+X ilə daxil edilən RouterOS Təhlükəsiz Modu, seans düşdüyü zaman həmin sessiyada edilən dəyişiklikləri geri qaytarır. Junos təsdiqlənməmiş bir öhdəliyi geri qaytarır. Cisco IOS cütləri yenidən yükləmə ləğvi ilə yenidən yüklənir. Müəssisə firewallları adətən avtomatik geri qaytarma taymeri ilə gözlənilən dəyişiklikləri səhnələşdirir. OpenWrt və əksər istehlakçı proqram təminatının heç bir ekvivalenti yoxdur, ona görə də orada taymer xarici olmalıdır: planlaşdırılmış bərpa, faylı dəyişdirən və xidməti yenidən işə salan cron işi və ya əvvəlki konfiqurasiyaya yenidən yükləmə.

Oxşar adlandırılmış xüsusiyyətin eyni əhatə dairəsini əhatə etdiyini düşünməyin. Bir məhsulun avtomatik geri qaytarılması yalnız firewall qaydalarını əhatə edə bilər; digəri özünüzü əlçatan saxlamaq üçün indicə dəyişdiyiniz idarəetmə qaydası da daxil olmaqla bütün konfiqurasiyanı əhatə edə bilər. Ona güvənməzdən əvvəl taymerin nəyə qayıtdığını oxuyun.

Taymer ixrac edilmiş faylı əvəz etmir. Burada ən vacib olan halda uğursuz olur: sessiya sağ qalır, idarəetmə müstəvisi yox və heç bir şey heç vaxt geri qayıtmağa səbəb olmur.

Açıq olanı yox, tamamilə yeni bir əlaqəni yoxlayın

Müəyyən edilmiş seans tez-tez hər yeni əl sıxışmasını maneə törədən dəyişikliklərlə işləməyə davam edir, çünki onun vəziyyəti artıq mövcuddur və əlaqə yaradıldıqda siyasət qiymətləndirilir. Dəyişiklikdən sonra uzaq tərəfdən yeni bağlantılar yaradın: təzə SSH sessiyası, müştəridən yeni VPN əl sıxması, marşrutlaşdırıcının LAN ünvanına normal səhifə yüklənməsi.

# run these from the remote machine, in a new shell
ssh -o ConnectTimeout=8 admin@"$ROUTER_WAN"
nc -vz "$ROUTER_WAN" 443
dig +short example.internal "@$ROUTER_LAN"

Sonra tunelin özündən çox tunelin aşağı axınında sınaqdan keçirin: ad həlli, daxili xidmətə TCP bağlantısı və həqiqətən istifadə etdiyiniz proqram. İstifadəyə yararlı DNS-ləri quran, lakin təqdim etməyən tunel müştəri statusunda sağlam görünür və brauzerdə pozulmuş görünür və bu fərq faylı bərpa edib, yoxsa bir qaydanı düzəltməyinizə qərar verir.

Məcburi əlaqəni kəsdikdən və yenidən qoşduqdan sonra təkrarlayın və platforma yükləmə zamanı vəziyyəti yenidən tətbiq edərsə, yenidən başladıqdan sonra bir daha təkrarlayın. Bəzi konfiqurasiyalar hər canlı sınaqdan keçir və yeni qaydalar qüvvədə olan ilk açılışda uğursuz olur.

Pəncərə üçün açdığınız qapıları bağlayın

Müvəqqəti hər hansı mənbəli admin qaydasını, atılan hesabı, genişləndirilmiş bağlamanı, icazə verilən DNS qaydasını və sazlama qeydini silin. Bu silinmənin özü asılı olduğunuz yolda dəyişiklikdir, ona görə də ondan sonra uzaq tərəfdən təzə qoşulma testini təkrar edin.

Dəyişiklik yenidən başlayana və real müştəri yenidən qoşulana qədər ixrac edilmiş faylı saxlayın, sonra pəncərə açıq olan zaman paylaşdığınız hər şeyi fırladın. Növbəti yükləməyə qədər işləyən konfiqurasiya, bir həftə sonra, heç kim hansı qaydanın müvəqqəti olduğunu xatırlamadığı zaman marşrutlaşdırıcını itirmək üçün sakit bir yoldur.

Dəyişikliyi növbəti şəxsin baxdığı yerə yazın: nə köçürülüb, hansı fayl onu ləğv edir, hansı yol konsola çatır və hansı qayda müvəqqəti olub.

VPN səhifəsini açmadan əvvəl dörd şey mövcud olmalıdır: sınaqdan keçirdiyiniz bərpa axını, sübut etdiyiniz ikinci yol, həqiqətən əldə edə biləcəyiniz ixrac edilmiş fayl və yazılı tətik. Hər hansı biri əskikdirsə, əvvəlcə onu düzəldin. Dəyişiklik bir saat gözləyə bilər; lokavt ola bilməz.