Kiel Plani Enkursigilon VPN-Revenon Antaŭ Fora Ŝanĝo

Vi estas redaktonta la tunelon, kiu enhavas vian propran sesion, do la laboro, kiu savas vin, okazas antaŭ la ŝanĝo, ne dum la tumulto post ĝi. La sekureca reto ne estas sur la VPN-paĝo: ĝi estas la restariga ekrano, konzolo aŭ dua vojo, kiu ne trairas la aparaton, kiun vi redaktas. Mi planas ĉiujn tri sur la sama enkursigilo, kiun mi redaktos, kaj mi uzas la vojon unufoje dum ĉio ankoraŭ funkcias. Jen la promenado, kiun mi sekvas, en ordo.

Promenu la restarigi fluon antaŭ ol vi bezonas ĝin

Malfermu la paĝon, kiu malfarus vian ŝanĝon. Sur pfSense tio estas Diagnozo > Rezerva & Restarigi; sur OpenWrt ĝi estas Sistemo > Rezerva / Flash Firmware; sur OPNsense ĝi estas Sistemo> Agordo> Rezervoj, kiu ankaŭ konservas antaŭajn reviziojn, kiujn vi povas reveni sen dosiero. Vi ankoraŭ ne restarigas ion ajn. Vi kontrolas ĉu tiu paĝo malfermiĝas de la vojo, kiun vi havos dum la ŝanĝo, ĉu ĝi volas rekomenci poste, kaj ĉu ĝi malakceptas arkivon skribitan per malsama firmware-eldono. Netgate dokumentas sian propran eksportadon kaj restarigi fluon ĉe docs.netgate.com.

Restarigo interŝanĝas la tutan agordon, do ĝi ne estas malfari por unu regulo. La arkivo enhavas uzantojn, atestilojn, VPN-ŝlosilojn, fajroŝirmigajn regulojn kaj la agordojn de la administra interfaco, kiuj decidas, kiu povas ensaluti. Tial mi eksportas tuj antaŭ la ŝanĝo kaj nomas la dosieron kun la dato kaj la ununura agordo, kiun mi intencas tuŝi. Restarigi monatan dosieron ankaŭ restarigas monatan tunelon kaj monatan ŝlosilon.

Se la platformo nur ŝarĝas arkivojn de la sama eldono, notu ĝin nun: firmware ĝisdatigo plus VPN-redakton en unu fenestro lasas vin tenante dosieron, kiun la enkursigilo ne akceptos.

Pruvu manieron en kiu preterpasas la tunelon

Dua SSH-sesio de la sama tekkomputilo al la sama publika adreso ne estas dua vojo; ambaŭ mortas kune. La sendependa vojo estas unu el ĉi tiuj: seria aŭ KVM-konzolo, hiperviziero aŭ nuba konzolo, administra VLAN atingebla de gastiganto kiu ne estas malantaŭ la tunelo, dua WAN aŭ LTE-modemo kun sia propra administra regulo, aŭ persono surloke.

Testu la elektitan vojon dum la enkursigilo estas sana. Ensalutu per ĝi, malfermu la VPN-paĝon kaj ĉesu antaŭ konservi. Se regulo de blokado nur lasas ĝin atingi la panelon, vi ankoraŭ havas tempon por ripari tion, kaj la korekto devas sidi super la regulo de rifuzo en la ordo de la regulo.

La plej multaj enkursigiloj ligas la administran servon al interfaco aŭ adresfamilio, do ekster-grupo itinero devas alveni kie tiu servo aŭskultas. Plilarĝigi la ligon por la fenestro funkcias, sed ĝi mem estas ŝanĝo al la vojo, de kiu vi dependas.

Eksportu la dosieron kaj skribu la ellasilon

Movu la eksportaĵon de la enkursigilo kaj de la maŝino, kiu povus perdi sian tunelon. Rezervo konservita en la enkursigilo dosiersistemo malaperas ĝuste en la fiasko por kiu vi planas, kaj unu sidanta sur la tekokomputilo, kiu estas perdonta konekteblecon, estas apenaŭ pli bona.

Traktu tiun dosieron kiel akreditaĵon. Ĝi tenas privatajn ŝlosilojn, antaŭdividitajn sekretojn, atestmaterialon kaj pasvortojn, do ĉifri ĝin aŭ stoku ĝin kun la sama zorgo kiel la enkursigilo-ensaluto.

Poste skribu unu frazon: se mi ne povas malfermi novan administradan sesion de PATH ene de N minutoj de la ŝanĝo, mi restarigas DOSIERON kaj rekomencas. La frazo devigas la amplekson malsupren al unu variablo. Itineraj, DNS kaj fajroŝirmilaj redaktoj kune faritaj estas rapide konservitaj kaj malrapidas sekci kiam vi ricevas unu plian provon.

Uzu commit-tempigilon kie la platformo havas tian

Pluraj platformoj malfaros la ŝanĝon por vi se vi malsukcesos konfirmi ĝin. RouterOS Sekura Reĝimo, enigita per Ctrl+X en terminalo, revertas la ŝanĝojn faritajn en tiu sesio kiam la sesio falas. Junos retroiras nekonfirmitan kompromison konfirmitan. Cisco IOS-paroj reŝargas kun reŝargi nuligon. Entreprenaj fajroŝirmiloj ofte enscenigas pritraktatajn ŝanĝojn per aŭtorevertanta tempigilo. OpenWrt kaj la plej multaj konsumantaj firmvaro havas nenion ekvivalentan, do tie la tempigilo devas esti ekstera: planita restarigo, kronlaboro kiu interŝanĝas dosieron reen kaj rekomencas la servon, aŭ rekomencon en la antaŭa agordo.

Ne supozu, ke simile nomita trajto kovras la saman amplekson. Aŭtomata reverto de unu produkto povas kovri nur fajroŝirmigajn regulojn; alia povas kovri la tutan agordon, inkluzive de la administrada regulo, kiun vi ĵus ŝanĝis por teni vin atingebla. Legu, kion la tempigilo revertas antaŭ ol vi fidas je ĝi.

Temporizilo ne anstataŭas eksportitan dosieron. Ĝi malsukcesas en la kazo, kiu plej gravas ĉi tie: la sesio pluvivas, la mastruma aviadilo ne, kaj nenio iam ekigas la reverton.

Provu tute novan konekton, ne la malfermitan

Establita sesio ofte daŭre funkcias per ŝanĝoj, kiuj blokas ĉiun novan manpremon, ĉar ĝia stato jam ekzistas kaj politiko estas taksita kiam konekto estas kreita. Post la ŝanĝo, kreu novajn konektojn de la malproksima flanko: freŝa SSH-sesio, freŝa VPN-manpremo de kliento, normala paĝa ŝarĝo al la enkursigilo LAN-adreso.

# run these from the remote machine, in a new shell
ssh -o ConnectTimeout=8 admin@"$ROUTER_WAN"
nc -vz "$ROUTER_WAN" 443
dig +short example.internal "@$ROUTER_LAN"

Tiam provu laŭflue de la tunelo prefere ol la tunelo mem: nomrezolucio, TCP-konekto al interna servo, kaj la aplikaĵo, kiun vi efektive uzas. Tunelo kiu establas sed disdonas neniun uzeblan DNS aspektas sana en la klientstatuso kaj rompita en la retumilo, kaj tiu diferenco decidas ĉu vi restarigas la dosieron aŭ riparas unu regulon.

Ripetu post deviga malkonekto kaj rekonekto, kaj denove post rekomenco se la platformo reaplikas staton ĉe lanĉo. Iuj agordoj trapasas ĉiun vivan provon kaj malsukcesas ĉe la unua ekkuro kun la novaj reguloj en la loko.

Fermu la pordojn, kiujn vi malfermis por la fenestro

Forigu la provizoran ajna-fontan administran regulon, la forĵetan konton, la plilarĝigitan ligon, la permeseman DNS-regulon kaj la sencimigan protokolon. Tiu forigo mem estas ŝanĝo sur la vojo, de kiu vi dependas, do rerulu la freŝan konekton post ĝi, de la fora flanko.

Konservu la eksportitan dosieron ĝis la ŝanĝo postvivis rekomencon kaj realan klienton rekonekti, tiam turnu ion, kion vi kunhavis dum la fenestro estis malfermita. Agordo kiu funkcias ĝis la sekva ekkuro estas trankvila maniero perdi enkursigilon semajnon poste, kiam neniu memoras, kiu regulo estis provizora.

Skribu la ŝanĝon kie rigardas la sekva persono: kio moviĝis, kiu dosiero malfaras ĝin, kiu vojo atingas la konzolon, kaj kiu regulo estis provizora.

Antaŭ ol vi malfermas la VPN-paĝon, kvar aferoj devas ekzisti: restarigi fluon, kiun vi testis, duan vojon, kiun vi pruvis, eksportitan dosieron, kiun vi povas atingi, kaj skribitan ellasilon. Se iu mankas, unue riparu tion. La ŝanĝo povas atendi horon; lokaŭto ne povas.