Bloquejats fora del vostre servidor VPN: conserveu una segona via d’entrada
Un túnel trencat no hauria de treure-us també la capacitat de reparar el servidor. Planifiqueu, proveu i reviseu una via administrativa independent abans que us calgui.
Obriu la consola, canvieu una regla de tallafocs i el túnel pel qual estàveu connectats desapareix. El canvi era correcte, la recàrrega no, i ara l’única ruta de tornada a la màquina és la que acabeu de trencar. Una segona via d’entrada és una decisió de disseny, i ha d’existir abans de la caiguda, no durant.
Repasseu què us queda encara
Comenceu per la pantalla de consola que teniu al davant i llisteude les vies que no depenen del túnel. Una consola web del proveïdor amb una sessió sèrie o VNC és una. Una interfície de gestió en una xarxa separada és una altra. L’accés físic és la tercera, i és la que la gent descobreix que falta en el pitjor moment.
| Path | Depends on | Usually fails when |
|---|---|---|
| Provider console | Account access and the provider's own API | Credentials live in a wiki only reachable over the tunnel |
| Management subnet | A second interface and its own routing | The bad change was a global route or firewall policy |
| Second tunnel | A different listener, port and credentials | Both listeners were changed in the same edit |
| Physical or local console | Being in the building | Nobody has been in the building for a year |
Llegiu la tercera columna com una llista de fallades i no com una abstracció. Dues d’aquestes vies solen fallar pel mateix motiu. La taula és com us n’adoneu abans que una caiguda us ho expliqui.
La independència és una qüestió de dependències
Un compte de recuperació no és independent si la seva contrasenya es guarda en un servei al qual arribeu pel túnel. Una segona VPN al mateix amfitrió, al mateix port i amb la mateixa política de tallafocs tampoc no és independent, perquè el canvi que va trencar el primer trenca tots dos.
Baixeu per la cadena i anomeneu què necessita cada pas. L’abast de xarxa, la resolució de noms, una font d’autenticació i el mateix servei de gestió són quatre dependències separades, i una via que comparteixi qualsevol d’elles n’hereta la fallada.
La via que mai no s’ha provat mereix una sospita pròpia. Una consola que no s’ha obert durant mesos pot requerir un restabliment de contrasenya per correu, i aquesta bústia pot estar allotjada a la màquina a la qual no podeu arribar. Proveu la via mentre tot funciona i ho trobareu una tarda tranquil·la.
Feu servir la segona via per a un canvi controlat
Des de la consola, feu una instantània o copieu la configuració que esteu a punt d’editar. Canvieu una cosa. Recarregueu el servei i llegiu el resultat abans de tocar res més, perquè dos canvis alhora converteixen una recuperació en un experiment.
Mantingueu la sessió de recuperació oberta mentre ho feu. Tot el valor de la segona via és que sobreviu a allò que esteu canviant, així que tancar-la primer elimina l’única propietat que la feia útil.
Verifiqueu des de la via de recuperació, no de memòria
La comprovació que importa és si la via normal torna, i la sessió de recuperació és on ho confirmeu per ordre:
systemctl status openvpn-server@server --no-pager ss -lntup | grep -E ':(1194|443)\b' nft list ruleset | sed -n '1,40p' journalctl -u openvpn-server@server --since '-10 min' --no-pager | tail -n 30
Llegiu primer l’estat del servei, després l’oient, després les regles i després el registre. Un servei que funciona sense oient apunta a la configuració del servei, mentre que un oient sense regles accessibles apunta al filtratge. L’ordre importa perquè cada pas estreny el següent, i saltar al registre sol significar llegir errors que descriuen el símptoma i no la causa.
La documentació de systemctl cobreix el comportament d’estat i reinici utilitzat aquí, incloent com una recàrrega fallida deixa el procés anterior en marxa. Restaurar una revisió coherent és millor que reconnectar-se repetidament des d’un client que no pot reparar el servidor. Si s’ha complert la condició de reversió que vau definir abans del canvi, restaureu i atureu-vos.
Mantingueu l’inventari al dia
Reviseu la llista d’accés quan canvien les persones o la infraestructura. Proveu la via de recuperació mentre tot funciona. Retireu els comptes que ningú no ha fet servir des de la darrera reorganització. Dos comptes antiquats i un certificat caducat són una petita neteja un dimarts i una caiguda un diumenge.
Registreu qui pot fer servir cada via, què permet i com es roten les credencials. Una via de recuperació sense propietari es converteix en una entrada oblidada, que és un tipus de fallada diferent de quedar-se fora del servidor.