Sut i Gynllunio Llwybrydd VPN Dychweliad Cyn Newid o Bell

Rydych chi ar fin golygu'r twnnel sy'n cynnal eich sesiwn eich hun, felly mae'r gwaith sy'n eich arbed yn digwydd cyn y newid, nid yn ystod y sgramblo ar ei ôl. Nid yw'r rhwyd ddiogelwch ar y dudalen VPN: dyma'r sgrin adfer, consol, neu ail lwybr nad yw'n rhedeg trwy'r ddyfais rydych chi'n ei golygu. Rwy'n cynllunio'r tri ar yr un rhyngwyneb llwybrydd yr wyf ar fin ei olygu, ac rwy'n defnyddio'r llwybr unwaith tra bod popeth yn dal i weithio. Dyma'r llwybr cerdded dwi'n ei ddilyn, mewn trefn.

Cerddwch y llif adfer cyn i chi ei angen

Agorwch y dudalen a fyddai'n dadwneud eich newid. Ar pfSense dyna Diagnosteg > Gwneud Copi Wrth Gefn ac Adfer; ar OpenWrt mae'n gadarnwedd System> Backup / Flash; ar OPNsense mae'n System> Ffurfweddu> Copïau wrth gefn, sydd hefyd yn cadw diwygiadau blaenorol y gallwch ddychwelyd atynt heb ffeil. Nid ydych yn adfer unrhyw beth eto. Rydych chi'n gwirio a yw'r dudalen honno'n agor o'r llwybr a fydd gennych yn ystod y newid, p'un a yw am ailgychwyn wedyn, ac a yw'n gwrthod archif a ysgrifennwyd gan ddatganiad cadarnwedd gwahanol. Mae Netgate yn dogfennu ei allforio ac adfer llif ei hun yn docs.netgate.com.

Mae adferiad yn cyfnewid y cyfluniad cyfan, felly nid yw'n ddadwneud ar gyfer un rheol. Mae'r archif yn cynnwys defnyddwyr, tystysgrifau, allweddi VPN, rheolau wal dân, a gosodiadau'r rhyngwyneb gweinyddol sy'n penderfynu pwy all fewngofnodi. Dyna pam rydw i'n allforio yn union cyn y newid ac yn enwi'r ffeil gyda'r dyddiad a'r gosodiad sengl rydw i'n bwriadu ei gyffwrdd. Mae adfer ffeil mis oed hefyd yn adfer twnnel mis oed ac allwedd mis oed.

Os yw'r platfform yn llwytho archifau o'r un datganiad yn unig, sylwch arno nawr: mae uwchraddio cadarnwedd ynghyd â golygiad VPN mewn un ffenestr yn eich gadael yn dal ffeil na fydd y llwybrydd yn ei derbyn.

Profwch ffordd i mewn sy'n hepgor y twnnel

Nid yw ail sesiwn SSH o'r un gliniadur i'r un cyfeiriad cyhoeddus yn ail lwybr; y ddau yn marw gyda'i gilydd. Mae'r llwybr annibynnol yn un o'r rhain: consol cyfresol neu KVM, hypervisor neu gonsol cwmwl, VLAN rheoli y gellir ei gyrraedd o westeiwr nad yw y tu ôl i'r twnnel, ail fodem WAN neu LTE gyda'i reol weinyddol ei hun, neu berson ar y safle.

Profwch y llwybr a ddewiswyd tra bod y llwybrydd yn iach. Mewngofnodwch drosto, agorwch y dudalen VPN, a stopiwch cyn arbed. Os yw rheol cloi i lawr yn gadael iddo gyrraedd y dangosfwrdd, mae gennych amser o hyd i drwsio hynny, ac mae'n rhaid i'r cywiriad eistedd uwchben y rheol gwadu yn nhrefn y rheol.

Mae'r rhan fwyaf o lwybryddion yn rhwymo'r gwasanaeth gweinyddol i ryngwyneb neu deulu cyfeiriad, felly mae'n rhaid i lwybr y tu allan i'r band gyrraedd lle mae'r gwasanaeth hwnnw'n gwrando. Mae ehangu'r rhwymiad ar gyfer y ffenestr yn gweithio, ond mae'n newid ei hun i'r llwybr rydych chi'n dibynnu arno.

Allforiwch y ffeil ac ysgrifennwch y sbardun

Symudwch yr allforyn oddi ar y llwybrydd ac oddi ar y peiriant a allai golli ei dwnnel. Mae copi wrth gefn sydd wedi'i storio ar system ffeiliau'r llwybrydd yn diflannu yn union y methiant rydych chi'n cynllunio ar ei gyfer, ac mae un eistedd ar y gliniadur sydd ar fin colli cysylltedd prin yn well.

Trin y ffeil honno fel tystlythyr. Mae'n dal allweddi preifat, cyfrinachau a rennir ymlaen llaw, deunydd tystysgrif, a hashes cyfrinair, felly amgryptio neu ei storio gyda'r un gofal â mewngofnodi'r llwybrydd.

Yna ysgrifennwch un frawddeg: os na allaf agor sesiwn reoli newydd o PATH o fewn N munud i'r newid, rwy'n adfer FFEIL ac yn ailgychwyn. Mae'r frawddeg yn gorfodi'r cwmpas i lawr i un newidyn. Mae golygiadau llwybr, DNS, a wal dân a ymrwymwyd gyda'i gilydd yn gyflym i'w harbed ac yn araf i haneru pan gewch un ymgais arall.

Defnyddiwch amserydd ymrwymo lle mae gan y platfform un

Bydd sawl platfform yn dad-wneud y newid i chi os na fyddwch yn ei gadarnhau. Mae Modd Diogel RouterOS, a gofnodwyd gyda Ctrl + X mewn terfynell, yn dychwelyd y newidiadau a wnaed yn y sesiwn honno pan fydd y sesiwn yn disgyn. Junos yn dychwelyd ymrwymiad heb ei gadarnhau a gadarnhawyd. Mae parau Cisco IOS yn ail-lwytho i mewn gyda chanslo ail-lwytho. Mae waliau tân menter yn aml yn cyflwyno newidiadau tra'n aros gydag amserydd dychwelyd yn awtomatig. Nid oes gan OpenWrt a'r rhan fwyaf o firmware defnyddwyr unrhyw beth cyfatebol, felly mae'n rhaid i'r amserydd fod yn allanol: adferiad wedi'i drefnu, swydd cron sy'n cyfnewid ffeil yn ôl ac yn ailgychwyn y gwasanaeth, neu ailgychwyn i'r cyfluniad blaenorol.

Peidiwch â chymryd yn ganiataol bod nodwedd a enwir yn debyg yn cwmpasu'r un cwmpas. Gall dychweliad awtomatig un cynnyrch gynnwys rheolau mur gwarchod yn unig; efallai y bydd un arall yn cwmpasu'r cyfluniad cyfan, gan gynnwys y rheol reoli rydych chi newydd ei newid i gadw'ch hun yn gyraeddadwy. Darllenwch beth mae'r amserydd yn ei ddychwelyd cyn i chi ddibynnu arno.

Nid yw amserydd yn cymryd lle ffeil wedi'i hallforio. Mae'n methu yn yr achos sydd bwysicaf yma: mae'r sesiwn wedi goroesi, nid yw'r awyren reoli yn gwneud hynny, a does dim byd byth yn sbarduno'r dychweliad.

Profwch gysylltiad newydd sbon, nid yr un agored

Mae sesiwn sefydledig yn aml yn parhau i weithio trwy newidiadau sy'n rhwystro pob ysgwyd llaw newydd, oherwydd bod ei gyflwr eisoes yn bodoli a bod polisi'n cael ei werthuso pan fydd cysylltiad yn cael ei greu. Ar ôl y newid, crëwch gysylltiadau newydd o'r ochr bell: sesiwn SSH ffres, ysgwyd llaw VPN ffres gan gleient, llwyth tudalen arferol i gyfeiriad LAN y llwybrydd.

# run these from the remote machine, in a new shell
ssh -o ConnectTimeout=8 admin@"$ROUTER_WAN"
nc -vz "$ROUTER_WAN" 443
dig +short example.internal "@$ROUTER_LAN"

Yna profwch i lawr yr afon o'r twnnel yn hytrach na'r twnnel ei hun: datrysiad enw, cysylltiad TCP â gwasanaeth mewnol, a'r cymhwysiad rydych chi'n ei ddefnyddio mewn gwirionedd. Mae twnnel sy'n sefydlu ond yn dosbarthu dim DNS y gellir ei ddefnyddio yn edrych yn iach yn statws y cleient ac wedi'i dorri yn y porwr, ac mae'r gwahaniaeth hwnnw'n penderfynu a ydych chi'n adfer y ffeil neu'n trwsio un rheol.

Ailadroddwch ar ôl gorfod datgysylltu ac ailgysylltu, ac unwaith eto ar ôl ailgychwyn os yw'r platfform yn ailgymhwyso cyflwr ar y cychwyn. Mae rhai cyfluniadau yn pasio pob prawf byw ac yn methu ar y cychwyn cyntaf gyda'r rheolau newydd yn eu lle.

Caewch y drysau a agorwyd gennych ar gyfer y ffenestr

Tynnwch y rheol weinyddol unrhyw ffynhonnell dros dro, y cyfrif taflu, y rhwymiad ehangach, y rheol DNS caniataol, a'r logio dadfygio. Mae'r tynnu hwnnw ynddo'i hun yn newid ar y llwybr rydych chi'n dibynnu arno, felly ail-redwch y prawf cysylltiad ffres ar ei ôl, o'r ochr anghysbell.

Cadwch y ffeil wedi'i hallforio nes bod y newid wedi goroesi ailgychwyn ac ailgysylltu cleient go iawn, yna cylchdroi unrhyw beth a rannwyd gennych tra bod y ffenestr ar agor. Mae cyfluniad sy'n gweithio tan y cychwyn nesaf yn ffordd dawel o golli llwybrydd wythnos yn ddiweddarach, pan nad oes neb yn cofio pa reol oedd dros dro.

Ysgrifennwch y newid i lawr lle mae'r person nesaf yn edrych: beth symudodd, pa ffeil sy'n ei ddadwneud, pa lwybr sy'n cyrraedd y consol, a pha reol oedd dros dro.

Cyn i chi agor y dudalen VPN, rhaid i bedwar peth fodoli: llif adfer rydych chi wedi'i brofi, ail lwybr rydych chi wedi'i brofi, ffeil wedi'i hallforio y gallwch chi ei chyrraedd mewn gwirionedd, a sbardun ysgrifenedig. Os oes unrhyw un ar goll, trwsio hynny yn gyntaf. Gall y newid aros awr; ni all cloi allan.