Як спланаваць адкат маршрутызатара VPN перад аддаленым змяненнем

Вы збіраецеся рэдагаваць тунэль, які ажыццяўляе ваш уласны сеанс, так што праца, якая эканоміць вас, адбываецца да змены, а не падчас сутычкі пасля яе. Сетка бяспекі знаходзіцца не на старонцы VPN: гэта экран аднаўлення, кансоль або другі шлях, які не праходзіць праз прыладу, якую вы рэдагуеце. Я планую ўсе тры на тым самым інтэрфейсе маршрутызатара, які збіраюся рэдагаваць, і я выкарыстоўваю шлях адзін раз, пакуль усё яшчэ працуе. Гэта пакрокавае кіраўніцтва, якое я прытрымліваюся, па парадку.

Прайдзіце працэс аднаўлення, перш чым ён вам спатрэбіцца

Адкрыйце старонку, якая скасуе ваша змяненне. На pfSense, гэта значыць Дыягностыка > Рэзервовае капіраванне і аднаўленне; на OpenWrt гэта System > Backup / Flash Firmware; на OPNsense гэта Сістэма > Канфігурацыя > Рэзервовыя копіі, дзе таксама захоўваюцца папярэднія версіі, да якіх можна вярнуцца без файла. Вы яшчэ нічога не аднаўляеце. Вы правяраеце, ці адкрываецца гэтая старонка са шляху, які вы будзеце мець падчас змены, ці патрабуе яна пасля гэтага перазагрузку і ці адхіляе яна архіў, запісаны іншай версіяй прашыўкі. Netgate дакументуе свой уласны паток экспарту і аднаўлення на docs.netgate.com.

Пры аднаўленні замяняецца ўся канфігурацыя, таму гэта не адмена для аднаго правіла. Архіў захоўвае карыстальнікаў, сертыфікаты, ключы VPN, правілы брандмаўэра і налады інтэрфейсу адміністратара, якія вызначаюць, хто можа ўвайсці ў сістэму. Вось чаму я экспартую непасрэдна перад змяненнем і называю файл з датай і адзінай наладай, якую збіраюся закрануць. Аднаўленне файла месячнай даўнасці таксама аднаўляе тунэль месячнай даўніны і ключ месячнай даўнасці.

Калі платформа загружае толькі архівы з аднаго і таго ж выпуску, звярніце ўвагу: абнаўленне прашыўкі плюс рэдагаванне VPN у адным акне пакідае ў вас файл, які маршрутызатар не прымае.

Дакажыце шлях, які прапускае тунэль

Другі сеанс SSH з таго ж ноўтбука на той жа публічны адрас не з'яўляецца другім шляхам; абодва паміраюць разам. Незалежны шлях - адзін з наступных: паслядоўная кансоль або кансоль KVM, гіпервізар або воблачная кансоль, сетка VLAN кіравання, даступная з хаста, які не знаходзіцца за тунэлем, другі мадэм WAN або LTE са сваім уласным адміністрацыйным правілам або чалавек на месцы.

Праверце абраны шлях, пакуль роутер спраўны. Увайдзіце праз яго, адкрыйце старонку VPN і спыніцеся перад захаваннем. Калі правіла блакіроўкі дазваляе толькі дасягнуць прыборнай панэлі, у вас яшчэ ёсць час, каб выправіць гэта, і выпраўленне павінна знаходзіцца вышэй за правіла адмовы ў парадку правілаў.

Большасць маршрутызатараў прывязваюць службу адміністратара да інтэрфейсу або сямейства адрасоў, таму пазапалосны маршрут павінен прыбываць туды, куды гэтая служба праслухоўвае. Пашырэнне прывязкі для акна сапраўды працуе, але само па сабе гэта змена шляху, ад якога вы залежыце.

Экспартуйце файл і запішыце трыгер

Перамясціце экспарт з маршрутызатара і з машыны, якая можа страціць свой тунэль. Рэзервовая копія, якая захоўваецца ў файлавай сістэме маршрутызатара, знікае ў той самай няспраўнасці, якую вы плануеце, а копія, якая знаходзіцца на ноўтбуку і вось-вось страціць сувязь, ледзь лепш.

Разглядайце гэты файл як уліковыя даныя. Ён захоўвае прыватныя ключы, папярэдне агульныя сакрэты, матэрыялы сертыфікатаў і хэшы пароляў, таму шыфруйце іх або захоўвайце з той жа асцярожнасцю, што і лагін на маршрутызатары.

Затым напішыце адзін сказ: калі я не магу адкрыць новы сеанс кіравання з PATH на працягу N хвілін пасля змены, я аднаўляю ФАЙЛ і перазагружаюся. Сказ зводзіць вобласць да адной зменнай. Праўкі маршруту, DNS і брандмаўэра, зробленыя разам, хутка захоўваюцца і павольна раздзяляюцца напалову, калі вы робіце яшчэ адну спробу.

Выкарыстоўвайце таймер фіксацыі там, дзе ён ёсць на платформе

Некаторыя платформы адменяць змяненне за вас, калі вы не пацвердзіце яго. Бяспечны рэжым RouterOS, які ўводзіцца з дапамогай Ctrl+X у тэрмінале, вяртае змены, зробленыя ў гэтым сеансе, калі сеанс спыняецца. Junos адкатвае пацверджанае непацверджанае здзяйсненне. Пары Cisco IOS перазагружаюцца з адменай перазагрузкі. Карпаратыўныя брандмаўэры звычайна ініцыююць незавершаныя змены з таймерам аўтаматычнага вяртання. OpenWrt і большасць спажывецкіх прашывак не маюць нічога эквівалентнага, таму таймер павінен быць знешнім: запланаванае аднаўленне, заданне cron, якое замяняе файл назад і перазапускае службу, або перазагрузка ў папярэдняй канфігурацыі.

Не думайце, што функцыя з падобнай назвай ахоплівае тую ж вобласць. Аўтаматычнае вяртанне аднаго прадукта можа ахопліваць толькі правілы брандмаўэра; іншы можа ахопліваць усю канфігурацыю, уключаючы правіла кіравання, якое вы толькі што змянілі, каб заставацца даступнымі. Прачытайце, што вяртае таймер, перш чым спадзявацца на яго.

Таймер не можа замяніць экспартаваны файл. Гэта трывае няўдачу ў выпадку, які тут найбольш важны: сеанс захоўваецца, плоскасць кіравання не, і нішто ніколі не запускае вяртанне.

Праверце зусім новае злучэнне, а не адкрытае

Усталяваны сеанс часта працягвае працаваць праз змены, якія блакуюць кожнае новае поціск рукі, таму што яго стан ужо існуе і палітыка ацэньваецца пры стварэнні злучэння. Пасля змены стварыце новыя злучэнні з аддаленага боку: новы сеанс SSH, новае рукапацісканне VPN ад кліента, звычайная загрузка старонкі на адрас лакальнай сеткі маршрутызатара.

# run these from the remote machine, in a new shell
ssh -o ConnectTimeout=8 admin@"$ROUTER_WAN"
nc -vz "$ROUTER_WAN" 443
dig +short example.internal "@$ROUTER_LAN"

Затым праверце ўніз па плыні тунэля, а не сам тунэль: дазвол імёнаў, TCP-злучэнне з унутранай службай і прыкладанне, якое вы на самой справе выкарыстоўваеце. Тунэль, які ўсталёўвае, але не выдае прыдатны DNS, выглядае здаровым у статусе кліента і зламаным у браўзеры, і гэтая розніца вырашае, аднавіць вы файл ці выправіць адно правіла.

Паўтарыце пасля прымусовага адключэння і паўторнага падключэння і яшчэ раз пасля перазагрузкі, калі платформа паўторна прымяняе стан пры загрузцы. Некаторыя канфігурацыі праходзяць кожны жывы тэст і церпяць няўдачу пры першай загрузцы з новымі правіламі.

Зачыніце дзверы, якія вы адчынілі для акна

Выдаліце часовае правіла адміністратара з любой крыніцы, уліковы запіс для выкіду, пашыраную прывязку, дазвольнае правіла DNS і запіс адладкі. Гэта выдаленне само па сабе з'яўляецца змяненнем шляху, ад якога вы залежыце, таму паўторна запусціце тэст новага злучэння пасля яго з аддаленага боку.

Захоўвайце экспартаваны файл, пакуль змены не захаваюцца пасля перазагрузкі і паўторнага падключэння сапраўднага кліента, затым павярніце ўсё, чым вы абагулілі, калі акно было адкрыта. Канфігурацыя, якая працуе да наступнай загрузкі, - гэта ціхі спосаб страціць маршрутызатар праз тыдзень, калі ніхто не памятае, якое правіла было часовым.

Запішыце змяненне, куды глядзіць наступны чалавек: што перамясцілася, які файл адмяняе яго, які шлях даходзіць да кансолі і якое правіла было часовым.

Перш чым вы адкрыеце старонку VPN, павінны існаваць чатыры рэчы: правераны вамі паток аднаўлення, правераны другі шлях, экспартаваны файл, да якога вы сапраўды можаце дабрацца, і запісаны трыгер. Калі які-небудзь адсутнічае, спачатку выпраўце гэта. Змена можа чакаць гадзіну; блакіроўка не можа.