Paratowch lwybr adfer cyfresol cyn newid VPN ar GCE

Nid yw ail ffenestr SSH ar yr un rhyngwyneb yn llwybr adfer. Mae’n rhannu’r llwybr, y rheol wal dân a’r daemon rydych ar fin eu newid, felly mae’n methu yn union ar yr eiliad y bydd ei angen arnoch. Cyn golygu llwybrau VPN ar VM Compute Engine, profwch dri pheth ar wahân: y gallwch ddefnyddio’r consol cyfresol, y gallwch ddarllen ei hallbwn, ac y bydd y gwesteiwr yn rhoi mewngofnod i chi mewn gwirionedd. Mae’r gwiriadau isod yn mynd yn y drefn honno, y rhataf yn gyntaf, fel y gwelir caniatâd sydd ar goll cyn iddo fod o bwys.

Cam 1: cadarnhewch y caniatâd ar ochr y cwmwl

Enwch y VM, y prosiect a’r parth yn union, yna gwiriwch y polisi mynediad cyfresol a gymeradwywyd gan y sefydliad. Mae ar y gweinyddwr angen y caniatâd perthnasol, a rhaid galluogi mynediad cyfresol rhyngweithiol ar gyfer y ffenestr honno o dan reolaethau’r prosiect a’r sefydliad sydd mewn grym.

Peidiwch â gwanhau polisi’r sefydliad nac agor mynediad consol ar draws prosiect cyfan i baratoi un peiriant. Gofynnwch i’r perchennog drefnu’r mecanwaith a ganiateir cyn yr arbrawf, nid yn ystod y toriad.

Cam 2: profwch y gallwch ddarllen allbwn

Darllen allbwn cyfresol yw’r gwiriad rhataf, ac mae’n arfer y cludiant heb gyffwrdd â mewngofnod y gwesteiwr:

gcloud compute instances get-serial-port-output VM_NAME \
    --project PROJECT_ID --zone ZONE --port 1

Amnewidiwch y dynodwyr a defnyddiwch y porth a ganiateir. Mae negeseuon cychwyn a sŵn y consol yn dweud wrthych fod y sianel yn gweithio. Nid ydynt yn profi y gallwch gael shell. Dyna pam mae’r cam hwn ar wahân i’r nesaf.

Cam 3: profwch y gallwch gael mewngofnod rhyngweithiol

Mae’r gorchymyn cysylltu yn agor sesiwn go iawn, nid rhagolwg:

gcloud compute connect-to-serial-port VM_NAME \
    --project PROJECT_ID --zone ZONE --port 1

Triniwch ef fel consol fyw. Cadarnhewch y pen draw cyn teipio manylion mewngofnodi, oherwydd bydd pob trawiad bysell yn glanio ar y ffenestr.

Dyma lle mae cynllun oedd yn edrych yn gyflawn yn chwalu. Mae caniatâd y cwmwl yn un ffin a phrif nodyn mewngofnodi Linux yn un arall, ac nid yw pasio’r cyntaf yn dweud dim am yr ail.

Cam 4: paratowch fanylion mewngofnodi y bydd y gwesteiwr yn eu derbyn

Nid yw delweddau Linux a ddarperir gan Google yn galluogi mewngofnod lleol â chyfrinair yn ddiofyn. Felly gall sesiwn cyfresol gyrraedd nodyn mewngofnodi ac aros yno, yn disgwyl manylyn mewngofnodi na osododd neb.

Rhaid i gyfrif adfer cymeradwy, neu ba bynnag ddull mewngofnodi gwesteiwr dogfennedig y mae eich defnydd yn ei ddefnyddio, fodoli a chael ei brofi. Nid yw allwedd SSH sy’n gweithio dros y rhwydwaith yn bodloni nodyn cyfrinair consol yn awtomatig, felly gwiriwch y drefn OS Login ac allweddi go iawn yn hytrach na thybio ei bod yn ymdrin â’r achos hwn.

Cadwch fanylion mewngofnodi adfer yn breifat. Mae cyfrinair root wedi’i ludo i enghraifft startup-script gyhoeddus yn ail ddigwyddiad sy’n disgwyl digwydd.

Cam 5: cofnodwch y perchennog a’r rowlbac

Cyn newid unrhyw beth, cadwch y ffurfweddiad rhwydwaith sy’n gweithio ac ysgrifennwch pwy sy’n ei reoli, pa wasanaeth VPN sydd dan sylw a sut y perfformir rowlbac. O sesiwn sy’n gweithio, cofnodwch y llwybrau, y rheolau a chyflwr y gwasanaeth presennol.

Y cofnod hwnnw sy’n troi sianel adfer yn atgyweiriad, oherwydd dim ond nodyn y mae’r consol yn ei roi i chi. Ysgrifennwch ef cyn y newid, nid o’r cof wedyn. Nid yw rowlbac wedi’i gopïo o wici yn rowlbac. Mae’n ddyfaliad gyda rhif fersiwn.

Cam 6: gwiriwch ar ôl y newid

Gall sesiwn SSH bresennol oroesi polisi sy’n blocio rhai newydd, felly profwch gyda sesiwn weinyddol arferol newydd. Yna profwch ymddygiad y VPN a newidiasoch, ar wahân.

Cadwch y sianel adfer ar agor nes bod y ddau wiriad yn pasio, a’i chau yn unol â’r polisi mynediad wedyn. Os yw SSH eisoes wedi’i golli ac na pharatowyd mewngofnod consol, peidiwch â thrin mynediad cyfresol fel rhwyd ddiogelwch a dechreuwch y llif adfer cyfrif neu atgyweirio ffenestr awdurdodedig. Nid yw sefydlu VM arall fel jump host yn atgyweirio na llwybr y gwesteiwr na’r manylion mewngofnodi sydd ar goll.