Как да планирате връщане на VPN на рутер преди отдалечена промяна

Вие сте на път да редактирате тунела, който носи вашата собствена сесия, така че работата, която ви спестява, се случва преди промяната, а не по време на разбъркването след нея. Защитната мрежа не е на VPN страницата: това е екранът за възстановяване, конзола или втори път, който не минава през устройството, което редактирате. Планирам и трите на същия интерфейс на рутера, който ще редактирам, и използвам пътя веднъж, докато всичко все още работи. Това е упътването, което следвам, по ред.

Вървете в процеса на възстановяване, преди да имате нужда от него

Отворете страницата, която ще отмени вашата промяна. В pfSense това е Диагностика > Архивиране и възстановяване; на OpenWrt е System > Backup / Flash Firmware; на OPNsense това е Система > Конфигурация > Архивиране, което също запазва предишни ревизии, към които можете да се върнете без файл. Все още не възстановявате нищо. Проверявате дали тази страница се отваря от пътя, който ще имате по време на промяната, дали иска рестартиране след това и дали отхвърля архив, написан от различна версия на фърмуера. Netgate документира своя собствен поток за експортиране и възстановяване на docs.netgate.com.

Възстановяването разменя цялата конфигурация, така че не е отмяна за едно правило. Архивът съдържа потребители, сертификати, VPN ключове, правила за защитна стена и настройки на администраторския интерфейс, които решават кой може да влезе. Ето защо експортирам непосредствено преди промяната и именувам файла с датата и единствената настройка, която възнамерявам да докосна. Възстановяването на месечно стар файл също възстановява месечен тунел и месечен ключ.

Ако платформата зарежда само архиви от същата версия, обърнете внимание сега: надстройка на фърмуера плюс редактиране на VPN в един прозорец ви оставя да държите файл, който рутерът няма да приеме.

Докажете път, който прескача тунела

Втора SSH сесия от същия лаптоп до същия публичен адрес не е втори път; и двамата умират заедно. Независимият път е един от следните: серийна или KVM конзола, хипервизор или облачна конзола, VLAN за управление, достъпен от хост, който не е зад тунела, втори WAN или LTE модем със собствено административно правило или човек на място.

Тествайте избрания път, докато рутерът е здрав. Влезте през него, отворете VPN страницата и спрете, преди да запазите. Ако правилото за блокиране му позволява да достигне само до таблото, все още имате време да поправите това и корекцията трябва да стои над правилото за отказ в реда на правилата.

Повечето рутери свързват администраторската услуга с интерфейс или фамилия адреси, така че извънлентов маршрут трябва да пристигне там, където тази услуга слуша. Разширяването на обвързването за прозореца работи, но само по себе си е промяна в пътя, от който зависиш.

Експортирайте файла и напишете тригера

Преместете експортирането от рутера и от машината, която може да загуби своя тунел. Резервно копие, съхранено във файловата система на рутера, изчезва точно при повредата, която планирате, а ако седите на лаптопа, който е на път да загуби връзка, е малко по-добре.

Третирайте този файл като идентификационни данни. Той съдържа частни ключове, предварително споделени тайни, сертификатен материал и хешове на пароли, така че го шифровайте или съхранявайте със същата грижа като влизането в рутера.

След това напишете едно изречение: ако не мога да отворя нова сесия за управление от PATH в рамките на N минути след промяната, възстановявам FILE и рестартирам. Изречението намалява обхвата до една променлива. Редакциите на маршрут, DNS и защитна стена, извършени заедно, бързо се записват и бавно се разполовяват, когато имате още един опит.

Използвайте таймер за ангажиране, когато платформата има такъв

Няколко платформи ще отменят промяната вместо вас, ако не успеете да я потвърдите. Безопасният режим на RouterOS, въведен с Ctrl+X в терминал, връща промените, направени в тази сесия, когато сесията отпадне. Junos връща назад потвърден непотвърден ангажимент. Двойките на Cisco IOS се презареждат с отмяна на презареждане. Корпоративните защитни стени обикновено организират чакащи промени с таймер за автоматично връщане. OpenWrt и повечето потребителски фърмуери нямат нищо еквивалентно, така че там таймерът трябва да е външен: планирано възстановяване, задача на cron, която сменя файл обратно и рестартира услугата, или рестартиране в предишната конфигурация.

Не приемайте, че функция с подобно име покрива същия обхват. Автоматичното връщане на един продукт може да покрива само правилата на защитната стена; друг може да покрива цялата конфигурация, включително правилото за управление, което току-що сте променили, за да останете достъпни. Прочетете какво връща таймерът, преди да разчитате на него.

Таймерът не е заместител на експортиран файл. Той се проваля в случая, който има най-голямо значение тук: сесията оцелява, равнината на управление не и нищо никога не задейства връщането.

Тествайте чисто нова връзка, а не отворената

Установената сесия често продължава да работи чрез промени, които блокират всяко ново ръкостискане, защото състоянието му вече съществува и политиката се оценява, когато се създаде връзка. След промяната създайте нови връзки от отдалечената страна: нова SSH сесия, ново VPN ръкостискане от клиент, нормално зареждане на страница към LAN адреса на рутера.

# run these from the remote machine, in a new shell
ssh -o ConnectTimeout=8 admin@"$ROUTER_WAN"
nc -vz "$ROUTER_WAN" 443
dig +short example.internal "@$ROUTER_LAN"

След това тествайте надолу по веригата на тунела, а не на самия тунел: разделителна способност на имена, TCP връзка към вътрешна услуга и приложението, което всъщност използвате. Тунел, който установява, но не предава използваем DNS, изглежда здрав в състоянието на клиента и повреден в браузъра и тази разлика решава дали да възстановите файла или да коригирате едно правило.

Повторете след принудително прекъсване на връзката и повторно свързване и още веднъж след рестартиране, ако платформата приложи отново състояние при зареждане. Някои конфигурации преминават всеки тест на живо и се провалят при първото зареждане с новите правила.

Затворете вратите, които сте отворили за прозореца

Премахнете временното администраторско правило за произволен източник, акаунта за изхвърляне, разширеното обвързване, разрешителното DNS правило и регистрирането на грешки. Това премахване само по себе си е промяна на пътя, от който зависи, така че стартирайте отново теста за нова връзка след него от отдалечената страна.

Запазете експортирания файл, докато промяната не преживее рестартиране и повторно свързване на истински клиент, след което завъртете всичко, което сте споделили, докато прозорецът е бил отворен. Конфигурация, която работи до следващото зареждане, е тих начин да загубите рутер седмица по-късно, когато никой не помни кое правило е временно.

Запишете промяната накъдето гледа следващият човек: какво се е преместило, кой файл го отменя, кой път достига до конзолата и кое правило е временно.

Преди да отворите VPN страницата, трябва да съществуват четири неща: поток за възстановяване, който сте тествали, втори път, който сте доказали, експортиран файл, до който действително можете да достигнете, и писмен тригер. Ако някой липсва, първо го поправете. Промяната може да изчака един час; локаут не може.