Com revertir amb seguretat la configuració d'un servidor VPN

Revertir un servidor és una decisió sobre quina capa ha fallat, no un exercici de còpia de fitxers. La configuració, les credencials i les versions dels paquets es mouen amb rellotges diferents, i restaurar-ne una mentre les altres es mantenen al dia produeix un amfitrió que sembla sa i es comporta de manera inconsistent. La seqüència següent assumeix que un canvi ja ha anat malament i us demana que restaureu l'estat coherent més petit. Seguiu-la en ordre i tracteu la comprovació d'accés fora de banda com el pas que ningú no hauria de saltar-se.

Captureu un punt de control que realment pugueu restaurar

Enregistreu la configuració que el servei llegeix en arrencar, juntament amb la versió que la va analitzar per última vegada. Un fitxer que es carregava net en una versió anterior pot ser rebutjat o ignorat en silenci després d'una actualització, així que la versió pertany a la mateixa nota. Incloeu el material al qual apunta la configuració: claus privades, camins de certificats, definicions d'oients i les entrades de DNS i tallafoc que fan arribar el servei. Si una restauració necessités un fitxer que no vau desar, el punt de control és incomplet.

Poseu nom al propietari de cada paràmetre mentre el sistema encara és sa. Una ruta instal·lada pel panell del proveïdor, una afegida pel tallafoc de l'amfitrió i una emesa als clients són tres objectes diferents, i restaurar l'equivocat deixa els altres dos al seu lloc. Una taula breu de paràmetre, propietari i camí de fitxer és suficient.

Mantingueu les revocacions separades de la configuració

Una configuració antiga pot reconnectar en silenci un dispositiu que vau eliminar expressament, cosa que converteix una recuperació en una regressió de seguretat. Conserveu la llista de revocacions actual i els comptes desactivats mentre restaureu la política de xarxa, i torneu a aplicar-los abans que el servei accepti clients.

Tracteu l'estat d'identitat com una reversió pròpia amb les seves pròpies proves. Els fitxers de revocació de certificats, la desactivació de comptes i l'alta a MFA poques vegades viuen al mateix lloc que la configuració del dimoni, i una restauració de la configuració no els tocarà. Comproveu primer l'estat actual per saber què ha de sobreviure. Després de la restauració, confirmeu que la identitat eliminada encara no pot connectar-se.

Arribeu a l'amfitrió quan el túnel falla

Obriu un camí fins a la màquina que no depengui del component que es canvia. Una consola d'hipervisor, una adreça de gestió en una interfície separada o una consola sèrie serveixen; una sessió SSH portada pel túnel no. Si l'única via d'entrada és la VPN que esteu a punt de reiniciar, una ruta dolenta o una regla de tallafoc us treu la capacitat de corregir-ho. Proveu el camí alternatiu abans del canvi, no després. Inicieu sessió per ell un cop, confirmeu que sudo funciona i anoteu l'adreça exacta que vau fer servir.

La prova és simple: baixeu el túnel mentre esteu connectats pel camí alternatiu i vegeu si la sessió sobreviu. Si cau, heu trobat la fallada abans que us pugui deixar encallats.

Apliqueu una sola revisió i sapigueu quan entra en vigor

Feu servir la documentació de reload o restart del servei i esbrineu quines directrius es llegeixen en quin moment. Alguns valors s'apliquen en recarregar, d'altres només quan comença una sessió o un procés nou, així que editar un fitxer no demostra res sobre l'estat en execució. Restaureu una sola revisió en lloc de barrejar un fitxer nou amb estat d'execució vell. En cas de dubte, un reinici complet del servei és més fàcil de raonar que una recàrrega parcial.

Comproveu la definició de la unitat abans de triar: systemctl show -p ExecReload openvpn@server us diu si hi ha cap ganxo de recàrrega. Apliqueu llavors la revisió i llegiu el registre per buscar els primers errors nous abans de canviar res més.

Verifiqueu, enregistreu i investigueu després

Connecteu un client autoritzat i exerciteu per a què serveix el servei: resolució de noms, una reconnexió i l'aplicació que va fallar. Confirmeu que la identitat revocada encara es rebutja. Enregistreu la revisió que vau restaurar, l'hora i el motiu, perquè el proper operador necessitarà les tres coses. Una reversió que ningú no ha documentat es converteix en un misteri la propera vegada que el servei es comporti malament.

systemctl status openvpn@server --no-pager
journalctl -u openvpn@server -n 50 --no-pager

Un cop el servei sigui estable, reproduïu el canvi fallit en un amfitrió o una instantània que pugueu llençar. Això separa una configuració dolenta d'un paquet dolent o d'un certificat caducat. Mantingueu la configuració restaurada sota control de versions perquè el proper punt de control comenci des d'un commit conegut. El sentit de l'exercici és un punt final documentat, no una baixada de versió permanent.