Κλειδωμένοι έξω από τον διακομιστή VPN σας: κρατήστε έναν δεύτερο δρόμο εισόδου

Ανοίγετε την κονσόλα, αλλάζετε έναν κανόνα τείχους προστασίας και η σήραγγα μέσω της οποίας ήσασταν συνδεδεμένοι εξαφανίζεται. Η αλλαγή ήταν σωστή, η επαναφόρτωση όχι, και τώρα η μόνη διαδρομή πίσω στο μηχάνημα είναι αυτή που μόλις σπάσατε. Μια δεύτερη διαδρομή εισόδου είναι απόφαση σχεδιασμού και πρέπει να υπάρχει πριν από τη διακοπή, όχι κατά τη διάρκειά της.

Δείτε τι σας έχει απομείνει

Ξεκινήστε από την οθόνη κονσόλας μπροστά σας και καταγράψτε τις διαδρομές που δεν εξαρτώνται από τη σήραγγα. Μια διαδικτυακή κονσόλα παρόχου με σειριακή συνεδρία ή συνεδρία VNC είναι μία. Μια διεπαφή διαχείρισης σε ξεχωριστό δίκτυο είναι άλλη. Η φυσική πρόσβαση είναι τρίτη, και αυτήν ανακαλύπτουν οι άνθρωποι ότι λείπει στην χειρότερη στιγμή.

Διαβάστε την τρίτη στήλη ως λίστα αστοχιών και όχι ως αφαίρεση. Δύο από αυτές τις διαδρομές αποτυγχάνουν συνήθως για τον ίδιο λόγο. Ο πίνακας είναι ο τρόπος να το προσέξετε πριν σας το εξηγήσει μια διακοπή.

Η ανεξαρτησία είναι ζήτημα εξαρτήσεων

Ένας λογαριασμός ανάκτησης δεν είναι ανεξάρτητος αν ο κωδικός του φυλάσσεται σε υπηρεσία στην οποία φτάνετε μέσω της σήραγγας. Ένα δεύτερο VPN στον ίδιο κεντρικό υπολογιστή, στην ίδια θύρα και με την ίδια πολιτική τείχους προστασίας δεν είναι ούτε αυτό ανεξάρτητο, γιατί η αλλαγή που έσπασε το πρώτο σπάει και τα δύο.

Κατεβείτε την αλυσίδα και ονομάστε τι χρειάζεται κάθε βήμα. Δικτυακή προσβασιμότητα, επίλυση ονομάτων, πηγή ταυτοποίησης και η ίδια η υπηρεσία διαχείρισης είναι τέσσερις ξεχωριστές εξαρτήσεις, και μια διαδρομή που μοιράζεται οποιαδήποτε από αυτές κληρονομεί εκείνη την αστοχία.

Η διαδρομή που δεν δοκιμάστηκε ποτέ αξίζει τη δική της καχυποψία. Μια κονσόλα που δεν έχει ανοίξει επί μήνες μπορεί να απαιτεί επαναφορά κωδικού μέσω ηλεκτρονικού ταχυδρομείου, και αυτό το γραμματοκιβώτιο μπορεί να φιλοξενείται στο μηχάνημα που δεν προσεγγίζετε. Δοκιμάστε τη διαδρομή όσο όλα δουλεύουν και θα το βρείτε ένα ήσυχο απόγευμα.

Χρησιμοποιήστε τη δεύτερη διαδρομή για μία ελεγχόμενη αλλαγή

Από την κονσόλα, πάρτε ένα στιγμιότυπο ή αντιγράψτε τη διαμόρφωση που πρόκειται να επεξεργαστείτε. Αλλάξτε ένα πράγμα. Επαναφορτώστε την υπηρεσία και διαβάστε το αποτέλεσμα πριν αγγίξετε οτιδήποτε άλλο, γιατί δύο αλλαγές μαζί μετατρέπουν μια ανάκτηση σε πείραμα.

Κρατήστε τη συνεδρία ανάκτησης ανοιχτή όσο το κάνετε. Όλη η αξία της δεύτερης διαδρομής είναι ότι επιβιώνει από αυτό που αλλάζετε, οπότε το κλείσιμό της πρώτα αφαιρεί τη μόνη ιδιότητα που την έκανε χρήσιμη.

Επαληθεύστε από τη διαδρομή ανάκτησης, όχι από μνήμης

Ο έλεγχος που μετράει είναι αν επιστρέφει η κανονική διαδρομή, και η συνεδρία ανάκτησης είναι το σημείο όπου το επιβεβαιώνετε με σειρά:

systemctl status openvpn-server@server --no-pager
ss -lntup | grep -E ':(1194|443)\b'
nft list ruleset | sed -n '1,40p'
journalctl -u openvpn-server@server --since '-10 min' --no-pager | tail -n 30

Διαβάστε πρώτα την κατάσταση της υπηρεσίας, μετά τον ακροατή, μετά τους κανόνες, μετά το ημερολόγιο. Μια υπηρεσία που τρέχει χωρίς ακροατή δείχνει στη διαμόρφωση της υπηρεσίας, ενώ ένας ακροατής χωρίς προσβάσιμους κανόνες δείχνει στο φιλτράρισμα. Η σειρά μετράει γιατί κάθε βήμα στενεύει το επόμενο, και το άλμα στο ημερολόγιο συνήθως σημαίνει ανάγνωση σφαλμάτων που περιγράφουν το σύμπτωμα και όχι την αιτία.

Η τεκμηρίωση του systemctl καλύπτει τη συμπεριφορά κατάστασης και επανεκκίνησης που χρησιμοποιείται εδώ, συμπεριλαμβανομένου του πώς μια αποτυχημένη επαναφόρτωση αφήνει την προηγούμενη διεργασία σε λειτουργία. Η επαναφορά μιας συνεκτικής έκδοσης είναι καλύτερη από τη συνεχή επανασύνδεση από έναν πελάτη που δεν μπορεί να επισκευάσει τον διακομιστή. Αν η συνθήκη επαναφοράς που ορίσατε πριν από την αλλαγή έχει εκπληρωθεί, επαναφέρετε και σταματήστε.

Κρατήστε το μητρώο ενημερωμένο

Ελέγχετε τη λίστα πρόσβασης όταν αλλάζουν άνθρωποι ή υποδομές. Δοκιμάζετε τη διαδρομή ανάκτησης όσο όλα λειτουργούν. Αποσύρετε τους λογαριασμούς που δεν χρησιμοποίησε κανείς από την τελευταία αναδιοργάνωση. Δύο παρωχημένοι λογαριασμοί και ένα ληγμένο πιστοποιητικό είναι ένα μικρό καθάρισμα μια Τρίτη και μια διακοπή μια Κυριακή.

Καταγράψτε ποιος μπορεί να χρησιμοποιήσει κάθε διαδρομή, τι επιτρέπει και πώς περιστρέφονται τα διαπιστευτήρια. Μια διαδρομή ανάκτησης χωρίς ιδιοκτήτη γίνεται ξεχασμένη είσοδος, που είναι διαφορετικό είδος αστοχίας από το να είσαι κλειδωμένος έξω.