Cómo planificar una reversión de VPN del enrutador antes de un cambio remoto

Estás a punto de editar el túnel que lleva tu propia sesión, por lo que el trabajo que te salva ocurre antes del cambio, no durante la lucha posterior. La red de seguridad no está en la página de VPN: es la pantalla de restauración, una consola o una segunda ruta que no pasa por el dispositivo que estás editando. Planeo los tres en la misma interfaz del enrutador que estoy a punto de editar y uso la ruta una vez mientras todo sigue funcionando. Este es el tutorial que sigo, en orden.

Siga el flujo de restauración antes de que lo necesite

Abra la página que desharía el cambio. En pfSense, es decir Diagnóstico > Copia de seguridad y restauración; en OpenWrt es Sistema > Copia de seguridad/Firmware Flash; en OPNsense es Sistema > Configuración > Copias de seguridad, que también mantiene revisiones anteriores a las que puede volver sin un archivo. Aún no estás restaurando nada. Está comprobando si esa página se abre desde la ruta que tendrá durante el cambio, si desea reiniciarla después y si rechaza un archivo escrito con una versión de firmware diferente. Netgate documenta su propio flujo de exportación y restauración en docs.netgate.com.

Una restauración intercambia toda la configuración, por lo que no se deshace de una regla. El archivo contiene usuarios, certificados, claves VPN, reglas de firewall y la configuración de la interfaz de administración que decide quién puede iniciar sesión. Es por eso que exporto inmediatamente antes del cambio y nombro el archivo con la fecha y la configuración única que pretendo tocar. La restauración de un archivo de un mes de antigüedad también restaura un túnel de un mes de antigüedad y una clave de un mes de antigüedad.

Si la plataforma solo carga archivos de la misma versión, anótelo ahora: una actualización de firmware más una edición de VPN en una ventana lo deja con un archivo que el enrutador no aceptará.

Demostrar un camino que salte el túnel

Una segunda sesión SSH desde la misma computadora portátil a la misma dirección pública no es una segunda ruta; ambos mueren juntos. La ruta independiente es una de estas: una consola serial o KVM, un hipervisor o consola en la nube, una VLAN de administración accesible desde un host que no está detrás del túnel, un segundo módem WAN o LTE con su propia regla administrativa, o una persona en el sitio.

Pruebe la ruta elegida mientras el enrutador esté en buen estado. Inicie sesión, abra la página VPN y deténgase antes de guardar. Si una regla de bloqueo solo le permite llegar al panel, todavía tiene tiempo para solucionarlo, y la corrección debe ubicarse por encima de la regla de denegación en el orden de las reglas.

La mayoría de los enrutadores vinculan el servicio de administración a una interfaz o una familia de direcciones, por lo que debe llegar una ruta fuera de banda donde ese servicio escucha. Ampliar el enlace de la ventana funciona, pero en sí mismo es un cambio en la ruta de la que depende.

Exportar el archivo y escribir el disparador

Mueva la exportación fuera del enrutador y fuera de la máquina que podría perder su túnel. Una copia de seguridad almacenada en el sistema de archivos del enrutador desaparece exactamente en el fallo que está planeando, y una que se encuentra en la computadora portátil que está a punto de perder la conectividad es apenas mejor.

Trate ese archivo como una credencial. Contiene claves privadas, secretos previamente compartidos, material de certificado y hashes de contraseñas, así que cifrelo o guárdelo con el mismo cuidado que el inicio de sesión del enrutador.

Luego escriba una oración: si no puedo abrir una nueva sesión de administración desde [[RUTA]] dentro de N minutos después del cambio, restauro [[ARCHIVO]] y reinicio. La oración fuerza el alcance a una variable. Las ediciones de ruta, DNS y firewall realizadas juntas se guardan rápidamente y se dividen lentamente cuando se realiza un intento más.

Utilice un temporizador de confirmación donde la plataforma tenga uno

Varias plataformas desharán el cambio por usted si no lo confirma. El modo seguro de RouterOS, ingresado con Ctrl+X en una terminal, revierte los cambios realizados en esa sesión cuando la sesión se interrumpe. Junos revierte una confirmación no confirmada. Los pares de Cisco IOS se recargan con cancelación de recarga. Los cortafuegos empresariales suelen organizar los cambios pendientes con un temporizador de reversión automática. OpenWrt y la mayoría del firmware de consumo no tienen nada equivalente, por lo que el temporizador tiene que ser externo: una restauración programada, un trabajo cron que intercambia un archivo y reinicia el servicio, o un reinicio en la configuración anterior.

No asuma que una característica con un nombre similar cubre el mismo alcance. La reversión automática de un producto puede cubrir únicamente reglas de firewall; otro puede cubrir toda la configuración, incluida la regla de administración que acaba de cambiar para mantenerse accesible. Lea lo que revierte el cronómetro antes de confiar en él.

Un temporizador no sustituye a un archivo exportado. Falla en el caso que más importa aquí: la sesión sobrevive, el plano de gestión no y nada desencadena la reversión.

Pruebe una conexión nueva, no la abierta

Una sesión establecida a menudo sigue funcionando a través de cambios que bloquean cada nuevo apretón de manos, porque su estado ya existe y la política se evalúa cuando se crea una conexión. Después del cambio, cree nuevas conexiones desde el lado remoto: una nueva sesión SSH, un nuevo protocolo de enlace VPN de un cliente, una carga de página normal en la dirección LAN del enrutador.

# run these from the remote machine, in a new shell
ssh -o ConnectTimeout=8 admin@"$ROUTER_WAN"
nc -vz "$ROUTER_WAN" 443
dig +short example.internal "@$ROUTER_LAN"

Luego pruebe aguas abajo del túnel en lugar del túnel en sí: resolución de nombres, una conexión TCP a un servicio interno y la aplicación que realmente utiliza. Un túnel que establece pero no distribuye ningún DNS utilizable parece saludable en el estado del cliente y roto en el navegador, y esa diferencia decide si restaura el archivo o corrige una regla.

Repita después de una desconexión y reconexión forzada, y una vez más después de un reinicio si la plataforma vuelve a aplicar el estado en el arranque. Algunas configuraciones pasan todas las pruebas en vivo y fallan en el primer arranque con las nuevas reglas implementadas.

Cierra las puertas que abriste por la ventana

Elimine la regla de administración temporal de cualquier fuente, la cuenta desechable, el enlace ampliado, la regla DNS permisiva y el registro de depuración. Esa eliminación es en sí misma un cambio en la ruta de la que depende, así que vuelva a ejecutar la prueba de conexión nueva después, desde el lado remoto.

Mantenga el archivo exportado hasta que el cambio haya sobrevivido a un reinicio y un cliente real se vuelva a conectar, luego gire todo lo que compartió mientras la ventana estaba abierta. Una configuración que funcione hasta el siguiente arranque es una forma silenciosa de perder un enrutador una semana después, cuando nadie recuerda qué regla fue temporal.

Anota el cambio donde mira la siguiente persona: qué se movió, qué archivo lo deshace, qué ruta llega a la consola y qué regla era temporal.

Antes de abrir la página VPN, deben existir cuatro cosas: un flujo de restauración que haya probado, una segunda ruta que haya probado, un archivo exportado al que realmente pueda acceder y un activador escrito. Si falta alguno, arréglelo primero. El cambio puede esperar una hora; un bloqueo no puede.