Πώς να σχεδιάσετε μια επαναφορά VPN δρομολογητή πριν από μια απομακρυσμένη αλλαγή

Πρόκειται να επεξεργαστείτε τη σήραγγα που μεταφέρει τη δική σας συνεδρία, έτσι ώστε η εργασία που σας σώζει να συμβεί πριν από την αλλαγή, όχι κατά τη διάρκεια του αγώνα μετά από αυτήν. Το δίχτυ ασφαλείας δεν βρίσκεται στη σελίδα VPN: είναι η οθόνη επαναφοράς, μια κονσόλα ή μια δεύτερη διαδρομή που δεν διατρέχει τη συσκευή που επεξεργάζεστε. Σχεδιάζω και τα τρία στην ίδια διεπαφή δρομολογητή που πρόκειται να επεξεργαστώ και χρησιμοποιώ τη διαδρομή μία φορά ενώ όλα λειτουργούν ακόμα. Αυτή είναι η πορεία που ακολουθώ, με τη σειρά.

Περπατήστε τη ροή επαναφοράς πριν τη χρειαστείτε

Ανοίξτε τη σελίδα που θα αναιρούσε την αλλαγή σας. Στο pfSense δηλαδή Διαγνωστικά > Δημιουργία αντιγράφων ασφαλείας και επαναφορά, στο OpenWrt είναι System > Backup / Flash Firmware, στο OPNsense είναι Σύστημα > Διαμόρφωση > Αντίγραφα ασφαλείας, το οποίο διατηρεί επίσης τις προηγούμενες αναθεωρήσεις στις οποίες μπορείτε να επαναφέρετε χωρίς αρχείο. Δεν αποκαθιστάτε τίποτα ακόμα. Ελέγχετε αν αυτή η σελίδα ανοίγει από τη διαδρομή που θα έχετε κατά την αλλαγή, εάν θέλει επανεκκίνηση στη συνέχεια και εάν απορρίπτει ένα αρχείο που έχει γραφτεί από διαφορετική έκδοση υλικολογισμικού. Η Netgate τεκμηριώνει τη δική της ροή εξαγωγής και επαναφοράς στο docs.netgate.com.

Μια επαναφορά ανταλλάσσει ολόκληρη τη διαμόρφωση, επομένως δεν αποτελεί αναίρεση για έναν κανόνα. Το αρχείο μεταφέρει χρήστες, πιστοποιητικά, κλειδιά VPN, κανόνες τείχους προστασίας και ρυθμίσεις διεπαφής διαχειριστή που αποφασίζουν ποιος μπορεί να συνδεθεί. Γι' αυτό εξάγω αμέσως πριν την αλλαγή και ονομάζω το αρχείο με την ημερομηνία και τη μοναδική ρύθμιση που σκοπεύω να αγγίξω. Η επαναφορά ενός αρχείου ενός μήνα επαναφέρει επίσης ένα τούνελ ενός μήνα και ένα κλειδί ενός μήνα.

Εάν η πλατφόρμα φορτώνει αρχεία μόνο από την ίδια έκδοση, σημειώστε το τώρα: μια αναβάθμιση υλικολογισμικού συν μια επεξεργασία VPN σε ένα παράθυρο σας αφήνει να κρατάτε ένα αρχείο που δεν θα δεχτεί ο δρομολογητής.

Αποδείξτε έναν τρόπο που παρακάμπτει το τούνελ

Μια δεύτερη συνεδρία SSH από τον ίδιο φορητό υπολογιστή στην ίδια δημόσια διεύθυνση δεν είναι δεύτερη διαδρομή, πεθαίνουν και οι δύο μαζί. Η ανεξάρτητη διαδρομή είναι μία από αυτές: μια κονσόλα σειριακής ή KVM, μια κονσόλα hypervisor ή cloud, ένα VLAN διαχείρισης προσβάσιμο από έναν κεντρικό υπολογιστή που δεν βρίσκεται πίσω από τη σήραγγα, ένα δεύτερο μόντεμ WAN ή LTE με δικό του κανόνα διαχείρισης ή ένα άτομο στον ιστότοπο.

Δοκιμάστε την επιλεγμένη διαδρομή ενώ ο δρομολογητής είναι υγιής. Συνδεθείτε από αυτό, ανοίξτε τη σελίδα VPN και σταματήστε πριν την αποθήκευση. Εάν ένας κανόνας κλειδώματος τον επιτρέπει να φτάσει μόνο στον πίνακα εργαλείων, έχετε ακόμα χρόνο να το διορθώσετε και η διόρθωση πρέπει να βρίσκεται πάνω από τον κανόνα άρνησης στη σειρά κανόνων.

Οι περισσότεροι δρομολογητές συνδέουν την υπηρεσία διαχειριστή σε μια διεπαφή ή μια οικογένεια διευθύνσεων, επομένως μια διαδρομή εκτός ζώνης πρέπει να φτάσει στο σημείο που ακούει αυτή η υπηρεσία. Η διεύρυνση της σύνδεσης για το παράθυρο λειτουργεί, αλλά είναι από μόνη της μια αλλαγή στη διαδρομή από την οποία βασίζεστε.

Εξαγάγετε το αρχείο και γράψτε το έναυσμα

Μετακινήστε την εξαγωγή από το δρομολογητή και από το μηχάνημα που μπορεί να χάσει τη σήραγγα. Ένα αντίγραφο ασφαλείας που είναι αποθηκευμένο στο σύστημα αρχείων του δρομολογητή εξαφανίζεται ακριβώς στην αποτυχία που σχεδιάζετε, και ένα που κάθεται στον φορητό υπολογιστή που πρόκειται να χάσει τη συνδεσιμότητα είναι ελάχιστα καλύτερο.

Αντιμετωπίστε αυτό το αρχείο ως διαπιστευτήριο. Διατηρεί ιδιωτικά κλειδιά, εκ των προτέρων κοινοποιημένα μυστικά, υλικό πιστοποιητικού και κατακερματισμούς κωδικών πρόσβασης, επομένως κρυπτογραφήστε το ή αποθηκεύστε το με την ίδια προσοχή όπως η σύνδεση του δρομολογητή.

Στη συνέχεια, γράψτε μια πρόταση: εάν δεν μπορώ να ανοίξω μια νέα περίοδο λειτουργίας διαχείρισης από το [[PATH]] εντός N λεπτών από την αλλαγή, επαναφέρω το [[FILE]] και κάνω επανεκκίνηση. Η πρόταση αναγκάζει το πεδίο εφαρμογής σε μία μεταβλητή. Οι αλλαγές διαδρομής, DNS και τείχους προστασίας που πραγματοποιούνται μαζί αποθηκεύονται γρήγορα και διχοτομούνται αργά όταν κάνετε μια ακόμη προσπάθεια.

Χρησιμοποιήστε ένα χρονόμετρο δέσμευσης όπου η πλατφόρμα διαθέτει ένα

Πολλές πλατφόρμες θα αναιρέσουν την αλλαγή για εσάς εάν δεν την επιβεβαιώσετε. Η ασφαλής λειτουργία RouterOS, η οποία έχει εισαχθεί με Ctrl+X σε ένα τερματικό, επαναφέρει τις αλλαγές που έγιναν σε αυτήν τη συνεδρία όταν πέσει η περίοδος λειτουργίας. Ο Junos επαναφέρει ένα μη επιβεβαιωμένο commit επιβεβαιωμένο. Επαναφόρτωση ζευγών Cisco IOS με ακύρωση επαναφόρτωσης. Τα εταιρικά τείχη προστασίας συνήθως προετοιμάζουν αλλαγές σε εκκρεμότητα με ένα χρονόμετρο αυτόματης επαναφοράς. Το OpenWrt και τα περισσότερα υλικολογισμικά καταναλωτών δεν έχουν τίποτα αντίστοιχο, επομένως το χρονόμετρο πρέπει να είναι εξωτερικό: μια προγραμματισμένη επαναφορά, μια εργασία cron που αλλάζει ένα αρχείο πίσω και επανεκκινεί την υπηρεσία ή μια επανεκκίνηση στην προηγούμενη διαμόρφωση.

Μην υποθέσετε ότι ένα χαρακτηριστικό με παρόμοια ονομασία καλύπτει το ίδιο εύρος. Η αυτόματη επαναφορά ενός προϊόντος μπορεί να καλύπτει μόνο κανόνες τείχους προστασίας, ένα άλλο μπορεί να καλύπτει ολόκληρη τη διαμόρφωση, συμπεριλαμβανομένου του κανόνα διαχείρισης που μόλις αλλάξατε για να είστε προσβάσιμοι. Διαβάστε τι επαναφέρει το χρονόμετρο πριν βασιστείτε σε αυτό.

Ο χρονοδιακόπτης δεν υποκαθιστά ένα εξαγόμενο αρχείο. Αποτυγχάνει στην περίπτωση που έχει μεγαλύτερη σημασία εδώ: η συνεδρία επιβιώνει, το επίπεδο διαχείρισης όχι και τίποτα δεν ενεργοποιεί ποτέ την επαναφορά.

Δοκιμάστε μια ολοκαίνουργια σύνδεση, όχι την ανοιχτή

Μια καθιερωμένη συνεδρία συχνά συνεχίζει να λειτουργεί μέσω αλλαγών που εμποδίζουν κάθε νέα χειραψία, επειδή η κατάστασή του υπάρχει ήδη και η πολιτική αξιολογείται όταν δημιουργείται μια σύνδεση. Μετά την αλλαγή, δημιουργήστε νέες συνδέσεις από την απομακρυσμένη πλευρά: μια νέα συνεδρία SSH, μια νέα χειραψία VPN από έναν πελάτη, μια κανονική φόρτωση σελίδας στη διεύθυνση LAN του δρομολογητή.

# run these from the remote machine, in a new shell
ssh -o ConnectTimeout=8 admin@"$ROUTER_WAN"
nc -vz "$ROUTER_WAN" 443
dig +short example.internal "@$ROUTER_LAN"

Στη συνέχεια, δοκιμάστε κατάντη της σήραγγας και όχι της ίδιας της σήραγγας: ανάλυση ονόματος, σύνδεση TCP σε μια εσωτερική υπηρεσία και την εφαρμογή που χρησιμοποιείτε πραγματικά. Μια σήραγγα που δημιουργεί αλλά δεν διανέμει χρησιμοποιήσιμο DNS φαίνεται υγιές στην κατάσταση του προγράμματος-πελάτη και σπασμένο στο πρόγραμμα περιήγησης, και αυτή η διαφορά αποφασίζει εάν θα επαναφέρετε το αρχείο ή θα διορθώσετε έναν κανόνα.

Επαναλάβετε μετά από αναγκαστική αποσύνδεση και επανασύνδεση, και άλλη μια φορά μετά από επανεκκίνηση εάν η πλατφόρμα εφαρμόσει ξανά την κατάσταση κατά την εκκίνηση. Ορισμένες διαμορφώσεις περνούν κάθε ζωντανή δοκιμή και αποτυγχάνουν στην πρώτη εκκίνηση με τους νέους κανόνες.

Κλείστε τις πόρτες που ανοίξατε για το παράθυρο

Καταργήστε τον προσωρινό κανόνα διαχειριστή οποιασδήποτε πηγής, τον απορριπτόμενο λογαριασμό, τη διευρυμένη δέσμευση, τον κανόνα επιτρεπόμενου DNS και την καταγραφή εντοπισμού σφαλμάτων. Αυτή η αφαίρεση είναι από μόνη της μια αλλαγή στη διαδρομή από την οποία βασίζεστε, επομένως εκτελέστε ξανά τη δοκιμή νέας σύνδεσης μετά από αυτήν, από την απομακρυσμένη πλευρά.

Διατηρήστε το εξαγόμενο αρχείο έως ότου η αλλαγή επιβιώσει από επανεκκίνηση και επανασύνδεση πραγματικού πελάτη και, στη συνέχεια, περιστρέψτε οτιδήποτε μοιραστήκατε ενώ το παράθυρο ήταν ανοιχτό. Μια διαμόρφωση που λειτουργεί μέχρι την επόμενη εκκίνηση είναι ένας ήσυχος τρόπος για να χάσετε έναν δρομολογητή μια εβδομάδα αργότερα, όταν κανείς δεν θυμάται ποιος κανόνας ήταν προσωρινός.

Γράψτε την αλλαγή στο σημείο που βλέπει το επόμενο άτομο: τι μετακινήθηκε, ποιο αρχείο το αναιρεί, ποια διαδρομή φτάνει στην κονσόλα και ποιος κανόνας ήταν προσωρινός.

Πριν ανοίξετε τη σελίδα VPN, πρέπει να υπάρχουν τέσσερα πράγματα: μια ροή επαναφοράς που έχετε δοκιμάσει, μια δεύτερη διαδρομή που έχετε αποδείξει, ένα εξαγόμενο αρχείο στο οποίο μπορείτε πραγματικά να μεταβείτε και μια γραπτή ενεργοποίηση. Εάν λείπει κάποιο, διορθώστε το πρώτα. Η αλλαγή μπορεί να περιμένει μια ώρα, ένα λουκέτο δεν μπορεί.