Страцілі доступ да VPN-сервера: пакіньце другі шлях уваходу
Зламаны тунель не павінен адымаць у вас і магчымасць адрамантаваць сервер. Сплануйце, пратэстуйце і перагледзьце незалежны адміністрацыйны шлях, пакуль ён вам не спатрэбіўся.
Вы адкрываеце кансоль, змяняеце адно правіла файрвола, і тунель, праз які вы былі злучаныя, знікае. Змена была правільнай, перазагрузка — не, і цяпер адзіны шлях назад у машыну — той, які вы толькі што зламалі. Другі шлях уваходу — гэта праектнае рашэнне, і яно павінна існаваць да збою, а не падчас яго.
Прайдзіцеся па тым, што ў вас засталося
Пачніце з экрана кансолі перад вамі і пералічыце шляхі, якія не залежаць ад тунеля. Вэб-кансоль правайдэра з паслядоўным або VNC-сэансам — гэта адзін. Інтэрфейс кіравання ў асобнай сетцы — другі. Фізічны доступ — трэці, і менавіта яго адсутнасць людзі выяўляюць у самы горшы момант.
| Path | Depends on | Usually fails when |
|---|---|---|
| Provider console | Account access and the provider's own API | Credentials live in a wiki only reachable over the tunnel |
| Management subnet | A second interface and its own routing | The bad change was a global route or firewall policy |
| Second tunnel | A different listener, port and credentials | Both listeners were changed in the same edit |
| Physical or local console | Being in the building | Nobody has been in the building for a year |
Чытайце трэці слупок як спіс адмоў, а не як абстракцыю. Два з гэтых шляхоў звычайна адмаўляюць па адной і той жа прычыне. Табліца — гэта спосаб заўважыць гэта да таго, як збой патлумачыць вам гэта.
Незалежнасць — гэта пытанне залежнасцей
Уліковы запіс аднаўлення не незалежны, калі яго пароль захаваны ў сэрвісе, да якога вы дабіраецеся праз тунель. Другі VPN на тым жа хосце, тым жа порце і з той жа палітыкай файрвола таксама не незалежны, бо змена, якая зламала першы, ламае абодва.
Прайдзіце па ланцугу і назавіце, што патрабуе кожны крок. Сеткавая дасяжнасць, развязанне імёнаў, крыніца аўтэнтыфікацыі і сам сэрвіс кіравання — гэта чатыры асобныя залежнасці, і шлях, які падзяляе любую з іх, наследуе гэты адмоў.
Шлях, які ніколі не правяралі, заслугоўвае асобнай падазронасці. Кансоль, якую не адкрывалі месяцы, можа патрабаваць скіду пароля па пошце, а гэтая скрыня можа размяшчацца на машыне, да якой вы не дабіраецеся. Праверце шлях, пакуль усё працуе, і вы знойдзеце гэта ў спакойны дзень.
Выкарыстайце другі шлях для адной кантраляванай змены
З кансолі вазьміце здымак або скапіруйце канфігурацыю, якую збіраецеся змяніць. Змяніце адно. Перазагрузіце сэрвіс і прачытайце вынік, перш чым кранаць што-небудзь яшчэ, бо дзве змены адначасова ператвараюць аднаўленне ў эксперымент.
Трымайце сэанс аднаўлення адкрытым, пакуль робіце гэта. Уся каштоўнасць другога шляху ў тым, што ён перажывае тое, што вы змяняеце, таму закрыццё яго першым пазбаўляе адзінай уласцівасці, якая рабіла яго карысным.
Правярайце з шляху аднаўлення, а не з памяці
Праверка, якая мае значэнне, — ці вяртаецца звычайны шлях, і сэанс аднаўлення — гэта месца, дзе вы пацвярджаеце гэта па парадку:
systemctl status openvpn-server@server --no-pager ss -lntup | grep -E ':(1194|443)\b' nft list ruleset | sed -n '1,40p' journalctl -u openvpn-server@server --since '-10 min' --no-pager | tail -n 30
Спачатку прачытайце стан сэрвіса, затым слухача, затым правілы, затым журнал. Сэрвіс, які працуе без слухача, паказвае на канфігурацыю сэрвіса, а слухач без дасяжных правілаў — на фільтраванне. Парадак важны, бо кожны крок звужвае наступны, а пераход адразу да журнала звычайна азначае чытанне памылак, якія апісваюць сімптом, а не прычыну.
Дакументацыя systemctl апісвае паводзіны стану і перазапуску, выкарыстаныя тут, у тым ліку тое, як няўдалая перазагрузка пакідае папярэдні працэс запушчаным. Аднавіць узгодненую версію лепш, чым неаднаразова перападключацца з кліента, які не можа адрамантаваць сервер. Калі ўмова адкату, якую вы вызначылі перад зменай, выкананая, аднавіце і спыніцеся.
Трымайце інвентар актуальным
Пераглядайце спіс доступу, калі змяняюцца людзі або інфраструктура. Пратэстуйце шлях аднаўлення, пакуль усё працуе. Зніміце ўліковыя запісы, якімі ніхто не карыстаўся з часу апошняй рэарганізацыі. Два састарэлыя запісы і адзін пратэрмінаваны сертыфікат — невялікая прыборка ў аўторак і збой у нядзелю.
Запішыце, хто можа карыстацца кожным шляхам, што ён дазваляе і як змяняюцца ўліковыя дадзеныя. Шлях аднаўлення без уладальніка робіцца забытым уваходам, а гэта іншы тып адмовы, чым быць адрэзаным ад сервера.