Як бяспечна адкаціць канфігурацыю сервера VPN

Адкат сервера — гэта рашэнне пра тое, які ўзровень адмовіў, а не практыкаванне ў капіраванні файлаў. Канфігурацыя, уліковыя даныя і версіі пакетаў рухаюцца па асобных гадзінніках, і аднаўленне аднаго, пакуль іншыя застаюцца актуальнымі, стварае хост, які выглядае здаровым і паводзіць сябе непаслядоўна. Паслядоўнасць ніжэй мяркуе, што змена ўжо пайшла не так, і просіць вас аднавіць найменшы ўзгоднены стан. Праходзьце яе па парадку і лічыце праверку доступу па-за асноўным каналам крокам, які ніхто не павінен прапускаць.

Зрабіце кропку аднаўлення, якую сапраўды можна аднавіць

Запішыце канфігурацыю, якую служба чытае пры запуску, разам з версіяй, якая апошні раз яе разбірала. Файл, які чыста загружаўся ў старэйшым выпуску, пасля абнаўлення можа быць адхілены або маўкліва праігнараваны, таму версія належыць у тую ж нататку. Уключыце матэрыял, на які спасылаецца канфігурацыя: прыватныя ключы, шляхі да сертыфікатаў, вызначэнні слухачоў і запісы DNS і брандмаўэра, якія робяць службу даступнай. Калі для аднаўлення спатрэбіцца файл, які вы не захавалі, кропка аднаўлення няпоўная.

Назвіце ўладальніка кожнага параметра, пакуль сістэма яшчэ здаровая. Маршрут, усталяваны панэллю правайдэра, дададзены брандмаўэрам хоста і адпраўлены кліентам, — гэта тры розныя аб'екты, і аднаўленне не таго з іх пакідае два іншыя на месцы. Кароткай табліцы з параметрам, уладальнікам і шляхам да файла дастаткова.

Трымайце адкліканні асобна ад канфігурацыі

Старая канфігурацыя можа ціха зноў падключыць прыладу, якую вы свядома выдалілі, і гэта ператварае аднаўленне ў рэгрэс бяспекі. Захавайце бягучы спіс адкліканняў і адключаныя ўліковыя запісы, пакуль аднаўляеце сеткавую палітыку, затым паўторна ўжыце іх, перш чым служба пачне прымаць кліентаў.

Разглядайце стан ідэнтычнасці як асобны адкат з уласнымі доказамі. Файлы адклікання сертыфікатаў, адключэнне ўліковых запісаў і рэгістрацыя MFA рэдка знаходзяцца там жа, дзе канфігурацыя дэмана, і аднаўленне канфігурацыі іх не кране. Спачатку праверце бягучы стан, каб ведаць, што павінна выжыць. Пасля аднаўлення пераканайцеся, што выдаленая ідэнтычнасць па-ранейшаму не можа падключыцца.

Дабярыцеся да хоста, калі тунель адмаўляе

Адкрыйце шлях да машыны, які не залежыць ад кампанента, які змяняецца. Кансоль гіпервізара, адрас кіравання на асобным інтэрфейсе або паслядоўная кансоль — усе падыходзяць; сеанс SSH праз тунель — не. Калі адзіны ўваход — гэта VPN, які вы збіраецеся перазапусціць, дрэнны маршрут або правіла брандмаўэра пазбаўляе вас магчымасці выправіць яго. Праверце альтэрнатыўны шлях да змены, а не пасля. Увайдзіце праз яго адзін раз, пераканайцеся, што sudo працуе, і запішыце дакладны адрас, які выкарыстоўвалі.

Тэст просты: апусціце тунель, падключаны праз альтэрнатыўны шлях, і паглядзіце, ці выжыве сеанс. Калі ён абарвецца, вы знайшлі адмову раней, чым яна зможа вас ізаляваць.

Унясіце адну праваку і ведайце, калі яна набудзе моц

Выкарыстоўвайце дакументацыю службы па reload або restart і высветліце, якія дырэктывы чытаюцца ў які момант. Некаторыя значэнні прымяняюцца пры reload, іншыя — толькі калі пачынаецца новы сеанс або працэс, таму рэдагаванне файла нічога не даказвае пра працуючы стан. Аднавіце адну праваку замест змешвання новага файла са старым станам выканання. Калі ёсць сумнеў, поўны перазапуск службы лягчэй асэнсаваць, чым частковы reload.

Праверце вызначэнне юніта перад выбарам: systemctl show -p ExecReload openvpn@server паведамляе, ці існуе наогул хук reload. Затым унясіце праваку і прачытайце журнал наконт першых новых памылак, перш чым мяняць што-небудзь яшчэ.

Праверце, запішыце і даследуйце пасля

Падключыце аднаго дазволенага кліента і праверце, для чаго служыць служба: развязанне імёнаў, паўторнае падключэнне і праграма, якая адмовіла. Пераканайцеся, што адкліканая ідэнтычнасць па-ранейшаму адхіляецца. Запішыце праваку, якую вы аднавілі, час і прычыну, бо наступнаму аператару спатрэбяцца ўсе тры. Адкат, якога ніхто не задокументаваў, ператвараецца ў загадку наступным разам, калі служба паводзіць сябе няправільна.

systemctl status openvpn@server --no-pager
journalctl -u openvpn@server -n 50 --no-pager

Калі служба стабілізавалася, узнавіце няўдалую змену на хосце або здымку, які можна выкінуць. Гэта аддзяляе дрэнную канфігурацыю ад дрэннага пакета або пратэрмінаванага сертыфіката. Трымайце адноўленую канфігурацыю пад кантролем версій, каб наступная кропка аднаўлення пачыналася з вядомага коміту. Сэнс практыкавання — задокументаваны канечны пункт, а не пастаяннае паніжэнне.