Com planificar una recuperació de VPN d'encaminador abans d'un canvi remot

Esteu a punt d'editar el túnel que porta la vostra pròpia sessió, de manera que el treball que us salva es produeix abans del canvi, no durant el revolt posterior. La xarxa de seguretat no es troba a la pàgina VPN: és la pantalla de restauració, una consola o un segon camí que no passa pel dispositiu que esteu editant. Planifico els tres a la mateixa interfície d'encaminador que estic a punt d'editar i faig servir el camí una vegada mentre tot encara funciona. Aquesta és la guia que segueixo, per ordre.

Camineu pel flux de restauració abans que el necessiteu

Obriu la pàgina que desfer el vostre canvi. A pfSense que és Diagnòstic > Còpia de seguretat i restauració; a OpenWrt és Sistema > Còpia de seguretat / Firmware Flash; a OPNsense és Sistema > Configuració > Còpies de seguretat, que també conserva les revisions anteriors a les quals podeu tornar sense fitxer. Encara no estàs restaurant res. Esteu comprovant si aquesta pàgina s'obre des del camí que tindreu durant el canvi, si vol reiniciar-se després i si rebutja un arxiu escrit per una versió de microprogramari diferent. Netgate documenta el seu propi flux d'exportació i restauració a docs.netgate.com.

Una restauració intercanvia tota la configuració, de manera que no es pot desfer per a una regla. L'arxiu inclou usuaris, certificats, claus VPN, regles del tallafoc i la configuració de la interfície d'administració que decideix qui pot iniciar sessió. És per això que exporto immediatament abans del canvi i anomeno el fitxer amb la data i la configuració única que vull tocar. La restauració d'un fitxer d'un mes també restaura un túnel d'un mes i una clau d'un mes.

Si la plataforma només carrega arxius de la mateixa versió, tingueu-ho en compte ara: una actualització del microprogramari més una edició de VPN en una finestra us permeten tenir un fitxer que l'encaminador no acceptarà.

Proveu una manera de saltar el túnel

Una segona sessió SSH des del mateix ordinador portàtil a la mateixa adreça pública no és un segon camí; tots dos moren junts. El camí independent és un d'aquests: una consola sèrie o KVM, un hipervisor o una consola de núvol, una VLAN de gestió accessible des d'un host que no es troba darrere del túnel, un segon mòdem WAN o LTE amb la seva pròpia regla administrativa o una persona al lloc.

Proveu el camí escollit mentre l'encaminador estigui en bon estat. Inicieu la sessió a sobre, obriu la pàgina VPN i atureu-vos abans de desar. Si una regla de bloqueig només permet que arribi al tauler, encara teniu temps per solucionar-ho i la correcció s'ha de situar per sobre de la regla de denegació en l'ordre de la regla.

La majoria dels encaminadors uneixen el servei d'administració a una interfície o a una família d'adreces, de manera que una ruta fora de banda ha d'arribar on escolta aquest servei. Ampliar l'enquadernació de la finestra funciona, però en si mateix és un canvi en el camí del qual depeneu.

Exporteu el fitxer i escriviu el disparador

Moveu l'exportació fora de l'encaminador i fora de la màquina que podria perdre el seu túnel. Una còpia de seguretat emmagatzemada al sistema de fitxers de l'encaminador desapareix exactament en la fallada que esteu planejant, i una còpia de seguretat a l'ordinador portàtil que està a punt de perdre la connectivitat és amb prou feines millor.

Tracteu aquest fitxer com una credencial. Conté claus privades, secrets precompartits, material de certificat i hash de contrasenya, de manera que encripteu-lo o emmagatzemeu-lo amb la mateixa cura que l'inici de sessió de l'encaminador.

A continuació, escriu una frase: si no puc obrir una nova sessió de gestió des de PATH dins de N minuts després del canvi, restaureré FILE i reinicio. La frase obliga l'abast a una variable. Les edicions de ruta, DNS i tallafocs realitzades conjuntament es desaran ràpidament i es divideixen lents quan obteniu un intent més.

Utilitzeu un temporitzador de confirmació quan la plataforma en tingui un

Diverses plataformes us desfaran el canvi si no el confirmeu. El mode segur de RouterOS, introduït amb Ctrl+X en un terminal, reverteix els canvis fets en aquesta sessió quan la sessió cau. Junos anul·la un compromís no confirmat confirmat. Els parells de Cisco IOS es recarreguen amb la cancel·lació de la recàrrega. Els tallafocs empresarials solen preparar els canvis pendents amb un temporitzador de inversió automàtica. L'OpenWrt i la majoria del microprogramari de consum no tenen res d'equivalent, de manera que el temporitzador ha de ser extern: una restauració programada, un treball cron que intercanvia un fitxer i reinicia el servei, o un reinici a la configuració anterior.

No suposeu que una característica de nom semblant cobreix el mateix abast. La reversió automàtica d'un producte només pot cobrir les regles del tallafoc; un altre pot cobrir tota la configuració, inclosa la regla de gestió que acabeu de canviar per mantenir-vos accessible. Llegiu què reverteix el temporitzador abans de confiar-hi.

Un temporitzador no substitueix un fitxer exportat. Falla en el cas que més importa aquí: la sessió sobreviu, el pla de gestió no, i res no desencadena mai el revers.

Proveu una connexió nova, no la oberta

Una sessió establerta sovint continua funcionant amb canvis que bloquegen cada nou encaixada de mans, perquè el seu estat ja existeix i la política s'avalua quan es crea una connexió. Després del canvi, creeu noves connexions des del costat remot: una nova sessió SSH, una nova encaixada de mans VPN d'un client, una càrrega de pàgina normal a l'adreça LAN de l'encaminador.

# run these from the remote machine, in a new shell
ssh -o ConnectTimeout=8 admin@"$ROUTER_WAN"
nc -vz "$ROUTER_WAN" 443
dig +short example.internal "@$ROUTER_LAN"

A continuació, proveu aigües avall del túnel en lloc del mateix túnel: resolució de noms, connexió TCP a un servei intern i l'aplicació que utilitzeu realment. Un túnel que estableix però no distribueix DNS utilitzable sembla saludable en l'estat del client i trencat al navegador, i aquesta diferència decideix si restaureu el fitxer o arregleu una regla.

Repetiu-ho després d'una desconnexió forçada i tornar a connectar, i una vegada més després d'un reinici si la plataforma torna a aplicar l'estat a l'arrencada. Algunes configuracions passen totes les proves en directe i fallen en el primer arrencada amb les noves regles.

Tanca les portes que has obert per a la finestra

Elimineu la regla d'administració temporal de qualsevol font, el compte d'usar, l'enllaç ampliat, la regla de DNS permissiva i el registre de depuració. Aquesta eliminació és en si mateix un canvi en el camí del qual depeneu, així que torneu a executar la prova de connexió nova després, des del costat remot.

Conserveu el fitxer exportat fins que el canvi hagi sobreviscut a un reinici i a un client real i, a continuació, gireu qualsevol cosa que compartiu mentre la finestra estava oberta. Una configuració que funciona fins al següent arrencada és una manera tranquil·la de perdre un encaminador una setmana després, quan ningú recorda quina regla era temporal.

Anoteu el canvi on mira la següent persona: què s'ha mogut, quin fitxer el desfà, quin camí arriba a la consola i quina regla era temporal.

Abans d'obrir la pàgina VPN, han d'existir quatre coses: un flux de restauració que heu provat, un segon camí que heu provat, un fitxer exportat al qual podeu accedir i un activador escrit. Si hi falta algú, arregleu-ho primer. El canvi pot esperar una hora; un bloqueig no pot.