Mae angen llwybr adfer rydych wedi’i brofi ar gyfer diweddariadau VPN dioruchwyliaeth

Mae diweddariadau dioruchwyliaeth yn bolisi rhesymol ar gyfer gweinydd rydych yn ei gyrraedd dros ei VPN ei hun, ac maent ar yr un pryd yn un pwynt methiant rydych wedi’i achosi i chi’ch hun. Mae’r weithred becyn yn ailgychwyn y gwasanaeth, mae’r twnnel yn cwympo, ac mae’r llwybr gweinyddol rydych yn ei ddefnyddio yn diflannu gydag ef. Mae dau fodel adfer yn bodoli, ac mae’r dewis rhyngddynt yn dibynnu ar un amod: a oes gennych lwybr i mewn nad yw’n mynd drwy’r peth sy’n cael ei ddiweddaru.

Dau fodel adfer, un amod benderfynol

Mae’r model cyntaf yn ymddiried yn y diweddariad ac yn tybio y gallwch ailgysylltu wedyn. Mae’n gweithio pan fo’r VPN yn un o sawl ffordd i gyrraedd y gwesteiwr a phan nad yw methiant y twnnel yn dileu eich gallu i’w ddiagnosio. Mae’r ail fodel yn gosod llwybr annibynnol ymlaen llaw, sef consol y darparwr lletya fel arfer, ac yn trin y twnnel fel y peth mwyaf tebygol o gael ei dorri gan waith cynnal. Mae’r ddau fodel yn amddiffynadwy, a dim ond un ohonynt sydd angen gwaith ymlaen llaw.

Mae’r amod benderfynol yn hawdd ei ddatgan ac yn hawdd ei hepgor. Os yw pob llwybr gweinyddol at y peiriant yn mynd drwy’r gwasanaeth sy’n cael ei ddiweddaru, nid oes gennych fodel adfer o gwbl, dim ond disgwyliad. Dywedwch hynny’n uchel yn adolygiad y newid.

Mae profi’r amod hwnnw yn cymryd deg munud ac mae’n rhaid iddo ddigwydd cyn y diweddariad dioruchwyliaeth cyntaf, nid yn ystod y digwyddiad. Agorwch y consol tra bo popeth yn gweithio, cadarnhewch fod y manylion mewngofnodi yn gyfredol, a’i chau eto. Cadarnhewch fod y consol yn agor i’r gwesteiwr rydych yn meddwl yw hi. Yna cadarnhewch fod y mewngofnodi y byddech yn ei ddefnyddio mewn gwirionedd am 3 y bore yn dal i weithio.

Mae’r rhan olaf yn bwysicach nag y mae’n swnio. Nid yw cyfrif consol y cafodd ei gyfrinair ei gylchdroi chwe mis yn ôl ac na chafodd erioed ei wirio yn llwybr adfer; dogfen sy’n disgrifio un ydyw.

Yr hyn nad yw copi wrth gefn yn ei adfer

Cofnod o ffeiliau yw archif ffurfweddiad, ac mae diweddariad yn newid mwy na ffeiliau. Mae cyflwr pecynnau, modiwlau cnewyllyn, dolenni unedau sydd wedi’u galluogi a rheolau mur tân a gymhwyswyd drwy offeryn ar wahân i gyd yn byw y tu allan i gyfeiriadur ffurfweddu, ac mae adferiad sy’n eu hanwybyddu yn cynhyrchu peiriant sy’n edrych wedi’i ffurfweddu ac nad yw’n anfon ymlaen.

Mae awdurdodi yn haeddu llinell ei hun. Bydd copi wrth gefn a gymerwyd cyn i ddyfais gyfaddawdu gael ei dileu yn adfer mynediad y ddyfais honno’n fodlon. Dychwelyd ato yn ystod toriad yw’r ffordd y mae un digwyddiad yn troi’n ddau, a dylid gwneud y penderfyniad i adfer ynglŷn â chyfoedion mor benodol ag y gwneir ynglŷn â ffeiliau.

Mae mecanwaith y dychweliad yn bwysig hefyd. Nid yw copïo gweithredadwy hŷn dros un sy’n cael ei reoli gan becyn yn wrthdroad a gefnogir o newid pecyn, ac mae’n gadael y gronfa ddata pecynnau yn disgrifio cyflwr nad yw’r system ffeiliau’n cyfateb iddo. Defnyddiwch lwybr diraddio’r rheolwr pecynnau ei hun neu’r ciplun y mae’r darparwr yn ei gynnig. Mae diraddiad y mae’r gronfa ddata pecynnau’n ei gofnodi yn un y gallwch ei ailadrodd.

Nid oes unrhyw beth o hyn yn dadlau yn erbyn copïau wrth gefn. Mae’n dadlau dros wybod pa haen y mae pob arteffact yn ei chwmpasu, oherwydd mae modd methiant adferiad rhannol yn fwy dryslyd na’r toriad gwreiddiol. Ysgrifennwch yr haen wrth ymyl pob copi wrth gefn yn y runbook.

Pwynt gwirio, diweddaru, yna gwirio o’r tu allan

Cofnodwch y cyflwr cyn y newid ar ffurf y gallwch ei chymharu wedyn: y fersiynau sydd wedi’u gosod, yr unedau gwasanaeth dan sylw, y socedi sy’n gwrando a’r rhestr gyfoedion bresennol. Mae pedwar gorchymyn yn cwmpasu’r rhan fwyaf ohono ar westeiwr Linux.

systemctl list-units --type=service | grep -E 'openvpn|wg-quick'
ss -lunp | grep -E ':51820|:1194'
journalctl -u wg-quick@wg0 --since '-10 min'

Mae’r cyntaf yn dangos pa unedau sy’n bodoli ac a ydynt yn rhedeg, mae’r ail yn cadarnhau bod y gwrandäwr wedi’i rwymo mewn gwirionedd, ac mae’r trydydd yn rhoi i chi gyfrif y gwasanaeth ei hun o’r munudau diwethaf. Nid oes yr un ohonynt yn profi y gall cleient gysylltu, a dyna pam mae’r cam nesaf yn digwydd o’r tu allan i’r gwesteiwr. Cadwch y darlleniadau hynny fel eich llinell sylfaen ar gyfer cymharu.

Gwiriwch o rwydwaith nad yw’n defnyddio’r twnnel: dilyswch un cleient awdurdodedig, datryswch enw, a chyrhaeddwch un cymhwysiad bwriadedig. Mae llinell statws leol sy’n dweud bod y rhyngwyneb i fyny yn ddatganiad am y rhyngwyneb, nid am lwybr, allweddi na’r polisi sy’n derbyn cymar.

Yna profwch lwybr yr ailgysylltiad yn fwriadol. Ailgychwynnwch y gwasanaeth unwaith a chadarnhewch fod y twnnel yn dod yn ôl heb ymyrraeth â llaw, oherwydd mae gwasanaeth sy’n cychwyn yn gywir dim ond ar gychwyn yn wasanaeth a fydd yn eich synnu ar yr eiliad waethaf.

Pan fydd yn methu, defnyddiwch y llwybr a brofwyd gennych

Nid yw’r dilyniant adfer yn ogoneddus ac mae’n gweithio: cyrhaeddwch y gwesteiwr drwy’r llwybr annibynnol, darllenwch logiau’r gwasanaeth ei hun, ac adferwch y pwynt gwirio penodol sy’n cyfateb i’r methiant. Newidiwch un peth y naill gynnig ar ôl y llall fel bod y darlleniad log nesaf yn golygu rhywbeth.

Gwrthwynebwch yr ysfa i wneud sawl newid heb ei gofnodi i gael cysylltedd yn ôl. Ni ellir esbonio peiriant a atgyweiriwyd gan bum golygiad ar yr un pryd wedyn, a bydd y diweddariad nesaf yn ailgyflwyno’r un oedd yn dwyn y llwyth mewn gwirionedd.

Yna penderfynwch y polisi parhaol gyda thystiolaeth. Os datgelodd y diweddariad ddibyniaeth na chofnododd neb, dogfennaeth a phrawf yw’r atgyweiriad, nid analluogi diweddariadau. Os datgelodd wasanaeth na all ailgychwyn yn lân, mae’r atgyweiriad yn yr uned, nid yn yr amserlen.

Mae’r gymhariaeth yn datrys yn lân unwaith y bydd yr amod wedi’i enwi. Mae llwybr annibynnol yn gwneud diweddariadau dioruchwyliaeth yn risg y gellir ei rheoli. Mae ei absenoldeb yn gwneud yr un polisi yn doriad wedi’i drefnu ag amser adfer anhysbys, ac nid oes unrhyw faint o awtomeiddio yn newid y rhestr honno.