So planen Sie ein Router-VPN-Rollback vor einer Remote-Änderung

Sie sind dabei, den Tunnel zu bearbeiten, der Ihre eigene Sitzung überträgt, sodass die Arbeit, die Sie erspart, vor der Änderung erfolgt und nicht während des Durcheinanders danach. Das Sicherheitsnetz befindet sich nicht auf der VPN-Seite: Es handelt sich um den Wiederherstellungsbildschirm, eine Konsole oder einen zweiten Pfad, der nicht über das Gerät verläuft, das Sie bearbeiten. Ich plane alle drei auf derselben Router-Schnittstelle, die ich gerade bearbeiten möchte, und verwende den Pfad einmal, während alles noch funktioniert. Dies ist die exemplarische Vorgehensweise, der ich der Reihe nach folge.

Gehen Sie den Wiederherstellungsablauf durch, bevor Sie ihn benötigen

Öffnen Sie die Seite, die Ihre Änderung rückgängig machen würde. Bei pfSense ist das Diagnose > Sichern und Wiederherstellen; bei OpenWrt ist es System > Backup/Flash-Firmware; Bei OPNsense ist es „System“ > „Konfiguration“ > „Backups“, wo auch frühere Revisionen aufbewahrt werden, zu denen Sie ohne Datei zurückkehren können. Sie stellen noch nichts wieder her. Sie prüfen, ob diese Seite über den Pfad geöffnet wird, den Sie während der Änderung haben, ob anschließend ein Neustart erforderlich ist und ob ein von einer anderen Firmware-Version geschriebenes Archiv abgelehnt wird. Netgate dokumentiert seinen eigenen Export- und Wiederherstellungsablauf bei docs.netgate.com.

Bei einer Wiederherstellung wird die gesamte Konfiguration ausgetauscht, es handelt sich also nicht um ein Rückgängigmachen einer Regel. Das Archiv enthält Benutzer, Zertifikate, VPN-Schlüssel, Firewall-Regeln und die Einstellungen der Admin-Oberfläche, die entscheiden, wer sich anmelden darf. Deshalb exportiere ich unmittelbar vor der Änderung und benenne die Datei mit dem Datum und der einzelnen Einstellung, die ich berühren möchte. Durch das Wiederherstellen einer einen Monat alten Datei werden auch ein einen Monat alter Tunnel und ein einen Monat alter Schlüssel wiederhergestellt.

Wenn die Plattform nur Archive derselben Version lädt, beachten Sie es jetzt: Ein Firmware-Upgrade und eine VPN-Bearbeitung in einem Fenster hinterlassen eine Datei, die der Router nicht akzeptiert.

Beweisen Sie einen Weg, der den Tunnel überspringt

Eine zweite SSH-Sitzung vom selben Laptop zur gleichen öffentlichen Adresse ist kein zweiter Pfad; beide sterben zusammen. Der unabhängige Pfad ist einer davon: eine serielle oder KVM-Konsole, ein Hypervisor oder eine Cloud-Konsole, ein Verwaltungs-VLAN, das von einem Host aus erreichbar ist, der sich nicht hinter dem Tunnel befindet, ein zweites WAN- oder LTE-Modem mit eigener Verwaltungsregel oder eine Person vor Ort.

Testen Sie den gewählten Pfad, während der Router fehlerfrei ist. Melden Sie sich darüber an, öffnen Sie die VPN-Seite und stoppen Sie vor dem Speichern. Wenn eine Sperrregel nur das Dashboard erreichen lässt, haben Sie noch Zeit, das Problem zu beheben, und die Korrektur muss in der Regelreihenfolge über der Verweigerungsregel stehen.

Die meisten Router binden den Admin-Dienst an eine Schnittstelle oder eine Adressfamilie, sodass eine Out-of-Band-Route dort ankommen muss, wo dieser Dienst lauscht. Das Erweitern der Bindung für das Fenster funktioniert zwar, ist aber selbst eine Änderung des Pfads, auf den Sie angewiesen sind.

Exportieren Sie die Datei und schreiben Sie den Trigger

Verschieben Sie den Export vom Router und von der Maschine, die möglicherweise ihren Tunnel verliert. Ein im Dateisystem des Routers gespeichertes Backup verschwindet genau bei dem Ausfall, den Sie planen, und ein Backup auf dem Laptop, das kurz vor dem Verbindungsverlust steht, ist kaum besser.

Behandeln Sie diese Datei als Anmeldeinformation. Es enthält private Schlüssel, Preshared Secrets, Zertifikatsmaterial und Passwort-Hashes; Verschlüsseln oder speichern Sie es daher mit der gleichen Sorgfalt wie die Router-Anmeldung.

Schreiben Sie dann einen Satz: Wenn ich innerhalb von N Minuten nach der Änderung keine neue Verwaltungssitzung von [[PATH]] öffnen kann, stelle ich [[FILE]] wieder her und starte neu. Der Satz zwingt den Gültigkeitsbereich auf eine Variable. Gemeinsam vorgenommene Routen-, DNS- und Firewall-Änderungen lassen sich schnell speichern und bei einem weiteren Versuch nur langsam halbieren.

Verwenden Sie einen Commit-Timer, sofern die Plattform über einen verfügt

Mehrere Plattformen machen die Änderung für Sie rückgängig, wenn Sie sie nicht bestätigen. Der abgesicherte Modus von RouterOS, der mit Strg+X in einem Terminal aufgerufen wird, macht die in dieser Sitzung vorgenommenen Änderungen rückgängig, wenn die Sitzung unterbrochen wird. Junos macht einen unbestätigten, bestätigten Commit rückgängig. Cisco IOS-Paare werden mit Neuladeabbruch neu geladen. Enterprise-Firewalls stellen ausstehende Änderungen häufig mit einem Timer für die automatische Wiederherstellung bereit. Für OpenWrt und die meisten Consumer-Firmware gibt es nichts Äquivalentes, daher muss der Timer dort extern sein: eine geplante Wiederherstellung, ein Cron-Job, der eine Datei zurückaustauscht und den Dienst neu startet, oder ein Neustart in der vorherigen Konfiguration.

Gehen Sie nicht davon aus, dass eine Funktion mit ähnlichem Namen denselben Umfang abdeckt. Die automatische Wiederherstellung eines Produkts deckt möglicherweise nur Firewall-Regeln ab; Ein anderer deckt möglicherweise die gesamte Konfiguration ab, einschließlich der Verwaltungsregel, die Sie gerade geändert haben, um erreichbar zu bleiben. Lesen Sie, was der Timer zurücksetzt, bevor Sie sich darauf verlassen.

Ein Timer ist kein Ersatz für eine exportierte Datei. Es schlägt in dem Fall fehl, der hier am wichtigsten ist: Die Sitzung überlebt, die Verwaltungsebene nicht und nichts löst jemals die Wiederherstellung aus.

Testen Sie eine brandneue Verbindung, nicht die offene

Eine etablierte Sitzung arbeitet häufig ständig an Änderungen, die jeden neuen Handshake blockieren, da sein Status bereits vorhanden ist und die Richtlinie ausgewertet wird, wenn eine Verbindung erstellt wird. Erstellen Sie nach der Änderung neue Verbindungen von der Remote-Seite: eine neue SSH-Sitzung, ein neuer VPN-Handshake von einem Client, ein normaler Seitenladevorgang an die LAN-Adresse des Routers.

# run these from the remote machine, in a new shell
ssh -o ConnectTimeout=8 admin@"$ROUTER_WAN"
nc -vz "$ROUTER_WAN" 443
dig +short example.internal "@$ROUTER_LAN"

Testen Sie dann stromabwärts des Tunnels und nicht den Tunnel selbst: Namensauflösung, eine TCP-Verbindung zu einem internen Dienst und die Anwendung, die Sie tatsächlich verwenden. Ein Tunnel, der aufbaut, aber kein nutzbares DNS weitergibt, sieht im Client-Status fehlerfrei und im Browser kaputt aus, und dieser Unterschied entscheidet darüber, ob Sie die Datei wiederherstellen oder eine Regel korrigieren.

Wiederholen Sie diesen Vorgang nach einer erzwungenen Trennung und erneuten Verbindung und noch einmal nach einem Neustart, wenn die Plattform beim Booten den Status erneut anwendet. Einige Konfigurationen bestehen jeden Live-Test und schlagen beim ersten Start mit den neuen Regeln fehl.

Schließen Sie die Türen, die Sie für das Fenster geöffnet haben

Entfernen Sie die temporäre Administratorregel für beliebige Quellen, das Wegwerfkonto, die erweiterte Bindung, die permissive DNS-Regel und die Debugprotokollierung. Diese Entfernung stellt selbst eine Änderung des Pfads dar, auf den Sie angewiesen sind; Führen Sie daher den Test für die neue Verbindung anschließend erneut von der Remote-Seite aus durch.

Behalten Sie die exportierte Datei, bis die Änderung einen Neustart und eine echte Client-Wiederverbindung überstanden hat, und rotieren Sie dann alles, was Sie geteilt haben, während das Fenster geöffnet war. Eine Konfiguration, die bis zum nächsten Start funktioniert, ist eine stille Möglichkeit, einen Router eine Woche später zu verlieren, wenn sich niemand mehr daran erinnert, welche Regel vorübergehend war.

Notieren Sie die Änderung dort, wo die nächste Person hinschaut: Was wurde verschoben, welche Datei macht sie rückgängig, welcher Pfad gelangt zur Konsole und welche Regel war vorübergehend.

Bevor Sie die VPN-Seite öffnen, müssen vier Dinge vorhanden sein: ein von Ihnen getesteter Wiederherstellungsablauf, ein von Ihnen nachgewiesener zweiter Pfad, eine exportierte Datei, die Sie tatsächlich erreichen können, und ein geschriebener Auslöser. Wenn etwas fehlt, beheben Sie es zuerst. Die Änderung kann eine Stunde warten; eine Aussperrung kann das nicht.