Sut i droi cyfluniad gweinydd VPN yn ôl yn ddiogel

Mae troi gweinydd yn ôl yn benderfyniad ynglŷn â pha haen a fethodd, nid ymarferiad copïo ffeiliau. Mae cyfluniad, tystlythyrau a fersiynau pecynnau yn symud ar glociau gwahanol, ac mae adfer un tra bo'r lleill yn parhau'n gyfredol yn cynhyrchu gwesteiwr sy'n edrych yn iach ac yn ymddwyn yn anghyson. Mae'r dilyniant isod yn cymryd yn ganiataol bod newid eisoes wedi mynd o chwith ac yn gofyn i chi adfer y cyflwr cydlynol lleiaf. Ewch drwyddo mewn trefn, a thriniwch y gwiriad mynediad allan o'r band fel y cam na ddylai neb ei hepgor.

Cymerwch bwynt gwirio y gallwch ei adfer mewn gwirionedd

Cofnodwch y cyfluniad y mae'r gwasanaeth yn ei ddarllen wrth gychwyn, ynghyd â'r fersiwn a'i dadansoddodd ddiwethaf. Gall ffeil a lwythwyd yn lân o dan ryddhad hŷn gael ei gwrthod neu ei hanwybyddu'n dawel ar ôl uwchraddiad, felly mae'r fersiwn yn perthyn i'r un nodyn. Tynnwch i mewn y deunydd y mae'r cyfluniad yn cyfeirio ato: allweddi preifat, llwybrau tystysgrifau, diffiniadau gwrandawyr a'r cofnodion DNS a mur cadarn sy'n gwneud y gwasanaeth yn gyrraeddadwy. Os byddai adferiad angen ffeil na wnaethoch ei chadw, mae'r pwynt gwirio yn anghyflawn.

Enwch berchennog pob gosodiad tra bo'r system yn dal yn iach. Mae llwybr a osodwyd gan banel y darparwr, un a ychwanegwyd gan fur cadarn y gwesteiwr ac un a wthiwyd at gleientiaid yn dri gwrthrych gwahanol, ac mae adfer yr un anghywir yn gadael y ddau arall yn eu lle. Mae tabl byr o osodiad, perchennog a llwybr ffeil yn ddigon.

Cadwch ddirymiadau ar wahân i'r cyfluniad

Gall hen gyfluniad ailgysylltu'n dawel ddyfais a wnaethoch ei dileu'n fwriadol, sy'n troi adferiad yn atchweliad diogelwch. Cadwch y rhestr ddirymu gyfredol a'r cyfrifon analluog wrth i chi adfer y polisi rhwydwaith, yna eu hailgymhwyso cyn i'r gwasanaeth dderbyn cleientiaid.

Triniwch gyflwr hunaniaeth fel troi'n ôl ar wahân gyda'i dystiolaeth ei hun. Anaml y mae ffeiliau dirymu tystysgrifau, analluogi cyfrifon a chofrestru MFA yn byw yn yr un man â chyfluniad y daemon, ac ni fydd adferiad cyfluniad yn cyffwrdd â nhw. Gwiriwch y cyflwr cyfredol yn gyntaf fel y gwyddoch beth sy'n rhaid goroesi. Ar ôl yr adferiad, cadarnhewch fod yr hunaniaeth a dynnwyd yn dal i fethu â chysylltu.

Cyrraedd y gwesteiwr pan fydd y twnnel yn methu

Agorwch lwybr i'r peiriant nad yw'n dibynnu ar y gydran sy'n cael ei newid. Mae consol hypervisor, cyfeiriad rheoli ar ryngwyneb ar wahân neu gonsol gyfresol i gyd yn gymwys; nid yw sesiwn SSH a gludir drwy'r twnnel yn gymwys. Os mai'r unig ffordd i mewn yw'r VPN rydych ar fin ei ailgychwyn, mae llwybr drwg neu reol mur cadarn yn tynnu eich gallu i'w chywiro. Profwch y llwybr arall cyn y newid, nid ar ôl. Mewngofnodwch drwyddo unwaith, cadarnhewch fod sudo yn gweithio, a nodwch yr union gyfeiriad a ddefnyddiwyd gennych.

Mae'r prawf yn syml: tynnwch y twnnel i lawr tra'n gysylltiedig dros y llwybr arall a gweld a yw'r sesiwn yn goroesi. Os yw'n disgyn, rydych wedi dod o hyd i'r methiant cyn y gall eich gadael yn y llaid.

Cymhwyswch un adolygiad a gwybod pryd y daw i rym

Defnyddiwch ddogfennaeth reload neu restart y gwasanaeth, a darganfyddwch pa gyfarwyddebau a ddarllenir ar ba foment. Mae rhai gwerthoedd yn berthnasol ar reload, eraill dim ond pan fydd sesiwn neu broses newydd yn cychwyn, felly nid yw golygu ffeil yn profi dim am y cyflwr rhedegol. Adferwch un adolygiad yn hytrach na chymysgu ffeil newydd ag hen gyflwr rhedegol. Pan fo amheuaeth, mae ailgychwyn llawn y gwasanaeth yn haws ei resymu na reload rhannol.

Gwiriwch y diffiniad uned cyn dewis: systemctl show -p ExecReload openvpn@server yn dweud wrthych a oes bachyn reload o gwbl. Yna cymhwyswch yr adolygiad a darllenwch y cyfnodolyn am y gwallau newydd cyntaf cyn newid unrhyw beth arall.

Gwirio, cofnodi ac ymchwilio wedyn

Cysylltwch un cleient awdurdodedig ac ymarferwch beth y mae'r gwasanaeth ar ei gyfer: datrys enwau, ailgysylltiad, a'r rhaglen a fethodd. Cadarnhewch fod yr hunaniaeth ddirymedig yn dal i gael ei gwrthod. Cofnodwch yr adolygiad a adferwyd gennych, yr amser a'r rheswm, oherwydd bydd angen y tri ar y gweithredydd nesaf. Mae troi'n ôl na chofnodwyd gan neb yn dod yn ddirgelwch y tro nesaf y bydd y gwasanaeth yn camymddwyn.

systemctl status openvpn@server --no-pager
journalctl -u openvpn@server -n 50 --no-pager

Unwaith y bydd y gwasanaeth yn sefydlog, atgynhyrchwch y newid a fethodd ar westeiwr neu snapiad y gallwch ei daflu. Mae hynny'n gwahanu cyfluniad drwg oddi wrth becyn drwg neu dystysgrif sydd wedi dod i ben. Cadwch y cyfluniad adferedig o dan reolaeth fersiynau fel bod y pwynt gwirio nesaf yn dechrau o ymrwymiad hysbys. Pwynt yr ymarferiad yw diweddbwynt wedi'i gofnodi, nid israddio parhaol.