Kuidas VPN-serveri konfiguratsiooni turvaliselt tagasi pöörata

Serveri tagasipööramine on otsus selle kohta, milline kiht ebaõnnestus, mitte failide kopeerimise harjutus. Konfiguratsioon, volitused ja paketiversioonid liiguvad erinevatel kelladel ning ühe taastamine, kui teised jäävad ajakohaseks, annab hosti, mis näeb terve välja ja käitub ebajärjekindlalt. Alljärgnev järjekord eeldab, et muudatus on juba untsu läinud, ja palub taastada väikseima sidusa oleku. Käige see järjest läbi ja käsitlege välise kanali juurdepääsu kontrolli sammuna, mida keegi ei tohiks vahele jätta.

Looge kontrollpunkt, mille saate tõesti taastada

Kirjutage üles konfiguratsioon, mida teenus käivitamisel loeb, koos versiooniga, mis selle viimati parsesse võttis. Fail, mis vanemas väljaandes puhtalt laaditi, võidakse pärast uuendust tagasi lükata või vaikselt eirata, seega kuulub versioon samasse märkmesse. Kaasake materjal, millele konfiguratsioon osutab: privaatvõtmed, sertifikaaditeed, kuulaja määratlused ning DNS-i ja tulemüüri kirjed, mis teevad teenuse kättesaadavaks. Kui taastamine vajaks faili, mida te ei salvestanud, on kontrollpunkt puudulik.

Nimetage iga seade omanik, kuni süsteem on veel terve. Teenusepakkuja paneeli paigaldatud marsruut, hosti tulemüüri lisatud marsruut ja klientidele saadetud marsruut on kolm erinevat objekti ning vale taastamine jätab ülejäänud kaks paigale. Lühikesest tabelist seade, omaniku ja failiteega piisab.

Hoidke tühistused konfiguratsioonist eraldi

Vana konfiguratsioon võib vaikselt uuesti ühendada seadme, mille te tahtlikult eemaldasite, mis muudab taastamise turvaregressiooniks. Säilitage praegune tühistusnimekiri ja keelatud kontod, kuni võrgupoliitikat taastate, ning rakendage need uuesti enne, kui teenus kliente vastu võtab.

Käsitlege identiteedi olekut omaette tagasipööramisena, millel on oma tõendid. Sertifikaatide tühistusfailid, kontode keelamine ja MFA-registreerimine asuvad harva samas kohas kui deemonikonfiguratsioon ning konfiguratsiooni taastamine ei puuduta neid. Kontrollige esmalt praegust olekut, et teada, mis peab alles jääma. Pärast taastamist kinnitage, et eemaldatud identiteet ikka veel ei saa ühendust.

Jõudke hostini, kui tunnel ebaõnnestub

Avage masinani tee, mis ei sõltu muudetavast komponendist. Hüperviisori konsool, haldusaadress eraldi liideses või jadakonsool kõik sobivad; tunnelist kantud SSH-seanss mitte. Kui ainus sissepääs on VPN, mida kavatsete taaskäivitada, võtab halb marsruut või tulemüürireegel teilt võimaluse seda parandada. Katsetage alternatiivset teed enne muudatust, mitte pärast. Logige selle kaudu korra sisse, kinnitage, et sudo töötab, ja märkige üles täpne aadress, mida kasutasite.

Test on lihtne: laske tunnel alla, kui olete ühendatud alternatiivse tee kaudu, ja vaadake, kas seanss jääb püsima. Kui see katkeb, leidsite rikke enne, kui see jõudis teid lõksu jätta.

Rakendage üks redaktsioon ja teadke, millal see mõjuma hakkab

Kasutage teenuse reload või restart dokumentatsiooni ja selgitage välja, milliseid direktiive millisel hetkel loetakse. Mõned väärtused kehtivad reload'i ajal, teised alles siis, kui algab uus seanss või protsess, seega faili muutmine ei tõesta töötava oleku kohta midagi. Taastage üks redaktsioon, selle asemel et segada uut faili vana käitusolekuga. Kahtluse korral on teenuse täielikku taaskäivitust lihtsam mõista kui osalist reload'i.

Kontrollige enne valimist üksuse määratlust: systemctl show -p ExecReload openvpn@server ütleb teile, kas reload-konks on üldse olemas. Seejärel rakendage redaktsioon ja lugege päevikust esimesi uusi vigu, enne kui midagi muud muudate.

Kontrollige, kirjutage üles ja uurige hiljem

Ühendage üks volitatud klient ja proovige järele, milleks teenus mõeldud on: nimede lahendamine, uuesti ühendamine ja rakendus, mis ebaõnnestus. Kinnitage, et tühistatud identiteedilt keeldutakse endiselt. Kirjutage üles taastatud redaktsioon, kellaaeg ja põhjus, sest järgmine operaator vajab kõiki kolme. Tagasipööramine, mida keegi ei dokumenteerinud, muutub mõistatuseks järgmisel korral, kui teenus halvasti käitub.

systemctl status openvpn@server --no-pager
journalctl -u openvpn@server -n 50 --no-pager

Kui teenus on stabiilne, korjake ebaõnnestunud muudatus esile hostil või hetktõmmises, mille võite ära visata. See eristab halba konfiguratsiooni halvast paketist või aegunud sertifikaadist. Hoidke taastatud konfiguratsiooni versioonihalduse all, et järgmine kontrollpunkt algaks tuntud commit'ist. Harjutuse mõte on dokumenteeritud lõpp-punkt, mitte püsiv alandamine.