Jak naplánovat vrácení routeru VPN před vzdálenou změnou

Chystáte se upravit tunel, který nese vaši vlastní relaci, takže práce, která vás zachrání, proběhne před změnou, nikoli během scramble po ní. Záchranná síť není na stránce VPN: je to obrazovka obnovení, konzola nebo druhá cesta, která neprochází zařízením, které upravujete. Všechny tři plánuji na stejném rozhraní routeru, které se chystám upravit, a cestu použiji jednou, dokud vše stále funguje. Toto je návod, kterým se řídím, v pořadí.

Projděte proces obnovy dříve, než jej budete potřebovat

Otevřete stránku, která vrátí vaši změnu zpět. V pfSense je to Diagnostika > Zálohování a obnovení; na OpenWrt je to Systém > Záloha / Flash Firmware; na OPNsense je to Systém > Konfigurace > Zálohy, která také uchovává předchozí revize, ke kterým se můžete vrátit bez souboru. Zatím nic neobnovujete. Kontrolujete, zda se tato stránka otevře z cesty, kterou budete mít během změny, zda chce poté restartovat a zda odmítne archiv napsaný v jiném vydání firmwaru. Netgate dokumentuje svůj vlastní export a tok obnovy na docs.netgate.com.

Obnovení zamění celou konfiguraci, takže se nejedná o vrácení jednoho pravidla. Archiv nese uživatele, certifikáty, VPN klíče, pravidla firewallu a nastavení administrátorského rozhraní, které rozhoduje o tom, kdo se může přihlásit. Proto exportuji těsně před změnou a pojmenuji soubor s datem a jediným nastavením, kterého se hodlám dotknout. Obnova měsíce starého souboru také obnoví měsíc starý tunel a měsíc starý klíč.

Pokud platforma načítá pouze archivy ze stejného vydání, poznamenejte si to hned: upgrade firmwaru plus úprava VPN v jednom okně vám ponechá soubor, který router nepřijme.

Dokažte způsob, jak přeskakovat tunel

Druhá relace SSH ze stejného notebooku na stejnou veřejnou adresu není druhou cestou; oba zemřou společně. Nezávislá cesta je jedna z těchto: sériová nebo KVM konzola, hypervizor nebo cloudová konzola, VLAN pro správu dosažitelná z hostitele, který není za tunelem, druhý WAN nebo LTE modem s vlastním administrativním pravidlem nebo osoba na místě.

Vyzkoušejte vybranou cestu, dokud je router v pořádku. Přihlaste se přes něj, otevřete stránku VPN a před uložením zastavte. Pokud pravidlo uzamčení umožňuje dosáhnout pouze na řídicí panel, stále máte čas to opravit a oprava musí sedět nad pravidlem odmítnutí v pořadí pravidel.

Většina směrovačů váže službu správce k rozhraní nebo rodině adres, takže tam, kde tato služba naslouchá, musí dorazit mimopásmová trasa. Rozšíření vazby pro okno funguje, ale je to samo o sobě změnou cesty, na které jste závislí.

Exportujte soubor a zapište spouštěč

Přesuňte export ze směrovače a mimo počítač, který by mohl ztratit tunel. Záloha uložená v souborovém systému routeru zmizí přesně při poruše, kterou plánujete, a ta, která sedí na notebooku, který má ztratit připojení, je sotva lepší.

Považujte tento soubor za pověření. Obsahuje soukromé klíče, předsdílená tajemství, materiál certifikátů a hash hesel, takže jej zašifrujte nebo uložte se stejnou péčí jako přihlášení k routeru.

Pak napište jednu větu: pokud nemohu otevřít novou relaci správy z PATH do N minut od změny, obnovím FILE a restartuji. Věta sníží rozsah na jednu proměnnou. Úpravy trasy, DNS a firewallu provedené společně se rychle uloží a při dalším pokusu se pomalu rozpůlí.

Použijte časovač odevzdání tam, kde jej platforma má

Několik platforem za vás vrátí změnu, pokud ji nepotvrdíte. Nouzový režim RouterOS, zadaný pomocí Ctrl+X v terminálu, vrátí změny provedené v této relaci, když relace klesne. Junos vrací zpět potvrzený nepotvrzený závazek. Páry Cisco IOS se znovu načtou se zrušením opětovného načtení. Firewally podnikových sítí běžně uskutečňují čekající změny pomocí časovače automatického návratu. OpenWrt a většina spotřebitelského firmwaru nemají nic ekvivalentního, takže tam musí být časovač externí: plánované obnovení, úloha cron, která přehodí soubor zpět a restartuje službu, nebo restart do předchozí konfigurace.

Nepředpokládejte, že podobně pojmenovaná funkce pokrývá stejný rozsah. Automatické vrácení jednoho produktu se může týkat pouze pravidel brány firewall; jiný může pokrývat celou konfiguraci, včetně pravidla správy, které jste právě změnili, abyste byli dosažitelní. Než se na to spolehnete, přečtěte si, co časovač vrátí.

Časovač nenahrazuje exportovaný soubor. Selže v případě, který je zde nejdůležitější: relace přežije, rovina správy nikoli a nic nikdy nespustí návrat.

Otestujte zcela nové připojení, ne to otevřené

Zavedená relace často pokračuje v provádění změn, které blokují každý nový handshake, protože jeho stav již existuje a politika se vyhodnocuje při vytvoření připojení. Po změně vytvořte nová připojení ze vzdálené strany: nová relace SSH, nový handshake VPN od klienta, normální načtení stránky na adresu LAN routeru.

# run these from the remote machine, in a new shell
ssh -o ConnectTimeout=8 admin@"$ROUTER_WAN"
nc -vz "$ROUTER_WAN" 443
dig +short example.internal "@$ROUTER_LAN"

Potom otestujte po proudu tunelu spíše než samotný tunel: rozlišení názvů, připojení TCP k interní službě a aplikaci, kterou skutečně používáte. Tunel, který vytváří, ale nerozdává žádné použitelné DNS, vypadá ve stavu klienta zdravě a v prohlížeči je nefunkční a tento rozdíl rozhoduje, zda obnovíte soubor nebo opravíte jedno pravidlo.

Opakujte po vynuceném odpojení a opětovném připojení a ještě jednou po restartu, pokud se platforma znovu použije při spouštění. Některé konfigurace projdou každým živým testem a selžou při prvním spuštění s novými pravidly.

Zavřete dveře, které jste otevřeli pro okno

Odeberte dočasné pravidlo pro správu libovolného zdroje, účet zahození, rozšířenou vazbu, přípustné pravidlo DNS a protokolování ladění. Toto odstranění je samo o sobě změnou cesty, na které závisíte, takže po něm znovu spusťte test nového připojení ze vzdálené strany.

Uchovávejte exportovaný soubor, dokud změna nepřežije restart a opětovné připojení skutečného klienta, poté otočte vše, co jste sdíleli, zatímco bylo okno otevřené. Konfigurace, která funguje až do dalšího spuštění, je tichý způsob, jak ztratit router o týden později, když si nikdo nepamatuje, které pravidlo bylo dočasné.

Zapište změnu, kam se podívá další osoba: co se přesunulo, který soubor to zruší, která cesta se dostane do konzole a které pravidlo bylo dočasné.

Než otevřete stránku VPN, musí existovat čtyři věci: tok obnovení, který jste testovali, druhá cesta, kterou jste ověřili, exportovaný soubor, ke kterému se skutečně dostanete, a zapsaný spouštěč. Pokud některá chybí, nejprve ji opravte. Změna může počkat hodinu; výluka nemůže.