Wedi’ch cloi allan o’ch gweinydd VPN: cadwch ail ffordd i mewn
Ni ddylai twnnel wedi torri dynnu oddi arnoch eich gallu i drwsio’r gweinydd hefyd. Cynlluniwch, profwch ac adolygwch lwybr gweinyddol annibynnol cyn i chi fod ei angen.
Rydych yn agor y consol, yn newid un rheol wal dân, ac mae’r twnnel yr oeddech wedi’ch cysylltu drwyddo yn diflannu. Roedd y newid yn gywir, roedd yr ail-lwytho yn anghywir, ac erbyn hyn yr unig ffordd yn ôl i’r peiriant yw’r un rydych newydd ei thorri. Mae ail ffordd i mewn yn benderfyniad dylunio, a rhaid iddi fodoli cyn y methiant, nid yn ystod y methiant.
Ewch drwy’r hyn sydd gennych o hyd
Dechreuwch o’r sgrin consol o’ch blaen a rhowch restr o’r llwybrau nad ydynt yn dibynnu ar y twnnel. Mae consol gwe’r darparwr gyda sesiwn gyfresol neu VNC yn un. Mae rhyngwyneb rheoli ar rwydwaith ar wahân yn un arall. Mynediad corfforol yw’r trydydd, a dyma’r un y mae pobl yn darganfod ei fod ar goll ar y munud gwaethaf.
| Path | Depends on | Usually fails when |
|---|---|---|
| Provider console | Account access and the provider's own API | Credentials live in a wiki only reachable over the tunnel |
| Management subnet | A second interface and its own routing | The bad change was a global route or firewall policy |
| Second tunnel | A different listener, port and credentials | Both listeners were changed in the same edit |
| Physical or local console | Being in the building | Nobody has been in the building for a year |
Darllenwch y drydedd golofn fel rhestr o fethiannau yn hytrach na haniaeth. Mae dau o’r llwybrau hynny fel arfer yn methu am yr un rheswm. Mae’r tabl yn ffordd i chi sylwi ar hynny cyn i fethiant egluro’r peth i chi.
Mae annibyniaeth yn gwestiwn o ddibyniaethau
Nid yw cyfrif adfer yn annibynnol os yw ei gyfrinair wedi’i storio mewn gwasanaeth rydych yn ei gyrraedd drwy’r twnnel. Nid yw ail VPN ar yr un gwesteiwr, yr un porth a’r un polisi wal dân yn annibynnol ychwaith, oherwydd mae’r newid a dorrodd yr un cyntaf yn torri’r ddau.
Ewch i lawr y gadwyn ac enwch beth sydd ei angen ar bob cam. Cyrhaeddiad rhwydwaith, datrys enwau, ffynhonnell dilysu, a’r gwasanaeth rheoli ei hun yw pedair dibyniaeth ar wahân, ac mae llwybr sy’n rhannu unrhyw un ohonynt yn etifeddu’r methiant hwnnw.
Mae’r llwybr na chafodd ei brofi erioed yn haeddu ei amheuaeth ei hun. Gall consol na chafodd ei agor am fisoedd fod angen ailosod cyfrinair drwy e-bost, ac efallai bod y blwch post hwnnw’n cael ei gynnal ar y peiriant na allwch gyrraedd. Profwch y llwybr tra bod popeth yn gweithio a chewch hyd i hyn ar brynhawn tawel.
Defnyddiwch yr ail lwybr ar gyfer un newid rheoledig
O’r consol, tynnwch snapshot neu copïwch y ffurfweddiad rydych ar fin ei olygu. Newidiwch un peth. Ail-lwythwch y gwasanaeth a darllenwch y canlyniad cyn i chi gyffwrdd ag unrhyw beth arall, oherwydd mae dau newid ar unwaith yn troi adferiad yn arbrawf.
Cadwch y sesiwn adfer ar agor tra byddwch yn gwneud hyn. Holl werth yr ail lwybr yw ei fod yn goroesi’r peth rydych yn ei newid, felly mae ei chau’n gyntaf yn symud yr un priodwedd a’i gwnaeth yn ddefnyddiol.
Gwiriwch o’r llwybr adfer, nid o’r cof
Y gwiriad sy’n cyfrif yw a yw’r llwybr arferol yn dychwelyd, a’r sesiwn adfer yw lle rydych yn cadarnhau hynny mewn trefn:
systemctl status openvpn-server@server --no-pager ss -lntup | grep -E ':(1194|443)\b' nft list ruleset | sed -n '1,40p' journalctl -u openvpn-server@server --since '-10 min' --no-pager | tail -n 30
Darllenwch gyflwr y gwasanaeth yn gyntaf, yna’r gwrandäwr, yna’r rheolau, yna’r log. Mae gwasanaeth sy’n rhedeg heb wrandäwr yn pwyntio at ffurfweddiad y gwasanaeth, tra bo gwrandäwr heb reolau cyrraeddadwy yn pwyntio at hidlo. Mae’r drefn yn bwysig oherwydd mae pob cam yn culhau’r nesaf, ac mae neidio i’r log fel arfer yn golygu darllen gwallau sy’n disgrifio’r symptom yn hytrach na’r achos.
Mae dogfennaeth systemctl yn ymdrin â’r ymddygiad statws ac ailgychwyn a ddefnyddir yma, gan gynnwys sut mae ail-lwytho aflwyddiannus yn gadael y broses flaenorol yn rhedeg. Mae adfer diwygiad cydlynol yn well na chysylltu dro ar ôl tro o glient na all drwsio’r gweinydd. Os yw’r amod cwympo’n ôl a ddiffiniwyd gennych cyn y newid wedi’i fodloni, adferwch a stopiwch.
Cadwch y rhestr eiddo yn gyfredol
Adolygwch y rhestr fynediad pan fydd pobl neu seilwaith yn newid. Profwch y llwybr adfer tra bod popeth yn gweithio. Terfynwch y cyfrifon nad oes neb wedi’u defnyddio ers yr aildrefnu diwethaf. Mae dau gyfrif hen ffasiwn ac un dystysgrif wedi dod i ben yn glanhau bach ar ddydd Mawrth ac yn fethiant ar ddydd Sul.
Cofnodwch pwy all ddefnyddio pob llwybr, beth mae’n ei ganiatáu a sut mae’r manylion yn cael eu cylchdroi. Mae llwybr adfer heb berchennog yn troi’n fynedfa angof, sy’n fath gwahanol o fethiant i fod wedi’ch cloi allan.