Jak bezpečně vrátit konfiguraci VPN serveru

Vrácení serveru zpět je rozhodnutí o tom, která vrstva selhala, ne cvičení v kopírování souborů. Konfigurace, přihlašovací údaje a verze balíčků se pohybují po oddělených hodinách a obnovení jedné, zatímco ostatní zůstávají aktuální, vytváří hostitele, který vypadá zdravě a chová se nekonzistentně. Následující postup předpokládá, že změna už šla špatně, a žádá vás o obnovení nejmenšího soudržného stavu. Projděte ho popořadě a berte kontrolu přístupu mimo pásmo jako krok, který by nikdo neměl vynechat.

Pořiďte kontrolní bod, který skutečně dokážete obnovit

Zaznamenejte konfiguraci, kterou služba čte při startu, spolu s verzí, která ji naposledy parsovala. Soubor, který se na starším vydání načítal čistě, může být po upgradu odmítnut nebo tiše ignorován, takže verze patří do stejné poznámky. Zahrňte materiál, na který konfigurace odkazuje: soukromé klíče, cesty k certifikátům, definice posluchačů a záznamy DNS a firewallu, které službu zpřístupňují. Pokud by obnovení potřebovalo soubor, který jste neuložili, kontrolní bod je neúplný.

Pojmenujte vlastníka každého nastavení, dokud je systém ještě zdravý. Trasa nainstalovaná panelem poskytovatele, trasa přidaná firewallem hostitele a trasa předaná klientům jsou tři různé objekty a obnovení špatné z nich nechá zbylé dvě na místě. Krátká tabulka nastavení, vlastníka a cesty k souboru stačí.

Držte odvolání odděleně od konfigurace

Stará konfigurace může tiše znovu připojit zařízení, které jste záměrně odstranili, což mění obnovu v bezpečnostní regresi. Zachovejte aktuální seznam odvolání a deaktivované účty, zatímco obnovujete síťovou politiku, a poté je znovu použijte, než služba začne přijímat klienty.

Berte stav identity jako vlastní vrácení zpět s vlastními důkazy. Soubory odvolání certifikátů, deaktivace účtů a registrace MFA zřídka sídlí na stejném místě jako konfigurace démona a obnovení konfigurace se jich nedotkne. Nejprve zkontrolujte aktuální stav, abyste věděli, co musí přežít. Po obnovení potvrďte, že odstraněná identita se stále nemůže připojit.

Dostaňte se k hostiteli, když tunel selže

Otevřete cestu ke stroji, která nezávisí na měněné komponentě. Konzole hypervisoru, adresa pro správu na samostatném rozhraní nebo sériová konzole všechny vyhovují; relace SSH nesená tunelem ne. Pokud je jediným vstupem VPN, kterou se chystáte restartovat, špatná trasa nebo pravidlo firewallu vám odebere možnost to napravit. Otestujte alternativní cestu před změnou, ne po ní. Přihlaste se přes ni jednou, potvrďte, že sudo funguje, a poznamenejte přesnou adresu, kterou jste použili.

Test je jednoduchý: spusťte tunel dolů, zatímco jste připojeni přes alternativní cestu, a sledujte, zda relace přežije. Pokud spadne, našli jste závadu dřív, než vás mohla uváznit.

Použijte jednu revizi a vězte, kdy vstoupí v platnost

Použijte dokumentaci služby k reload nebo restart a zjistěte, které direktivy se čtou v kterém okamžiku. Některé hodnoty platí při reloadu, jiné jen když začne nová relace nebo proces, takže úprava souboru nic nedokazuje o běžícím stavu. Obnovte jednu revizi místo míchání nového souboru se starým běhovým stavem. V pochybnostech je úplný restart služby snáze promyslitelný než částečný reload.

Před volbou zkontrolujte definici unitu: systemctl show -p ExecReload openvpn@server vám řekne, zda vůbec existuje háček pro reload. Poté revizi použijte a přečtěte si v žurnálu první nové chyby, než změníte cokoli dalšího.

Ověřte, zaznamenejte a poté prošetřete

Připojte jednoho oprávněného klienta a vyzkoušejte, k čemu služba je: překlad jmen, opětovné připojení a aplikaci, která selhala. Potvrďte, že odvolaná identita je stále odmítána. Zaznamenejte revizi, kterou jste obnovili, čas a důvod, protože další operátor bude potřebovat všechny tři. Vrácení zpět, které nikdo nezdokumentoval, se stane záhadou, až se služba příště zachová špatně.

systemctl status openvpn@server --no-pager
journalctl -u openvpn@server -n 50 --no-pager

Jakmile je služba stabilní, reprodukujte neúspěšnou změnu na hostiteli nebo snímku, který můžete zahodit. To odděluje špatnou konfiguraci od špatného balíčku nebo propadlého certifikátu. Udržujte obnovenou konfiguraci pod správou verzí, aby další kontrolní bod začínal známým commitem. Smyslem cvičení je zdokumentovaný koncový bod, ne trvalý downgrade.