Prepareu una via de recuperació sèrie abans de canviar la VPN a GCE

Una segona finestra SSH a la mateixa interfície no és una via de recuperació. Comparteix la ruta, la regla de tallafoc i el dimoni que esteu a punt de canviar, així que falla exactament en el moment que la necessiteu. Abans d’editar rutes VPN en una VM de Compute Engine, demostreu tres coses separades: que podeu utilitzar la consola sèrie, que podeu llegir-ne la sortida i que el convidat realment us donarà un inici de sessió. Les comprovacions següents van en aquest ordre, la més barata primer, perquè un permís que falta es descobreixi abans que importi.

Pas 1: confirmeu el permís del costat del núvol

Anomeneu la VM, el projecte i la zona exactes, i després reviseu la política d’accés sèrie aprovada per l’organització. L’administrador necessita el permís corresponent, i l’accés sèrie interactiu s’ha d’habilitar per a aquesta instància sota els controls de projecte i organització vigents.

No debiliteu una política de l’organització ni activeu l’accés a la consola per a tot un projecte per preparar una màquina. Feu que el propietari organitzi el mecanisme permès abans de l’experiment, no durant la interrupció.

Pas 2: demostreu que podeu llegir la sortida

Llegir la sortida sèrie és la comprovació més barata, i exercita el transport sense tocar l’inici de sessió del convidat:

gcloud compute instances get-serial-port-output VM_NAME \
    --project PROJECT_ID --zone ZONE --port 1

Substituïu els identificadors i feu servir el port permès. Els missatges d’arrencada i la xerrameca de la consola us diuen que el canal funciona. No demostren que pugueu obtenir un shell. Per això aquest pas és separat del següent.

Pas 3: demostreu que podeu obtenir un inici de sessió interactiu

L’ordre de connexió obre una sessió real, no una previsualització:

gcloud compute connect-to-serial-port VM_NAME \
    --project PROJECT_ID --zone ZONE --port 1

Tracteu-la com una consola en directe. Confirmeu el punt final abans d’escriure credencials, perquè cada pulsació de tecla arriba a la instància.

Aquí és on un pla que semblava complet es desfà. El permís al núvol és una frontera i el prompt d’inici de sessió de Linux és una altra, i passar la primera no diu res sobre la segona.

Pas 4: prepareu credencials que el convidat accepti

Les imatges Linux que proporciona Google no habiliten l’inici de sessió local amb contrasenya per defecte. Per tant, una sessió sèrie pot arribar a un prompt d’inici de sessió i aturar-se allà, esperant una credencial que ningú no ha configurat.

Ha d’existir i estar provat un compte de recuperació aprovat, o qualsevol mètode documentat d’inici de sessió del convidat que faci servir el vostre desplegament. Una clau SSH que funciona per la xarxa no satisfà automàticament un prompt de contrasenya de consola, així que comproveu l’OS Login i la disposició de claus reals en lloc de suposar que cobreixen aquest cas.

Manteniu privades les credencials de recuperació. Una contrasenya de root enganxada en un exemple públic de startup-script és un segon incident esperant a passar.

Pas 5: registreu el propietari i la reversió

Abans de canviar res, preserveu la configuració de xarxa que funciona i anoteu qui la gestiona, quin servei VPN hi intervé i com es fa una reversió. Des d’una sessió que funcioni, captureu les rutes, les regles i l’estat del servei actuals.

Aquest registre és el que converteix un canal de recuperació en una reparació, perquè la consola només us dona un prompt. Escriviu-lo abans del canvi, no de memòria després. Una reversió copiada d’una wiki no és una reversió. És una suposició amb un número de versió.

Pas 6: verifiqueu després del canvi

Una sessió SSH existent pot sobreviure a una política que en bloqueja de noves, així que proveu amb una sessió d’administració normal nova. Després proveu per separat el comportament de la VPN que heu canviat.

Manteniu obert el canal de recuperació fins que passin les dues comprovacions, i tanqueu-lo després segons la política d’accés. Si l’SSH ja s’ha perdut i no s’ha preparat cap inici de sessió per consola, deixeu de tractar l’accés sèrie com una xarxa de seguretat i comenceu el flux autoritzat de recuperació de compte o de reparació d’instància. Aixecar una altra VM com a jump host no repara ni el camí del convidat ni les credencials que falten.