Kuidas planeerida ruuteri VPN-i tagasipööramist enne kaugmuutmist

Olete redigeerimas tunnelit, mis kannab teie enda seanssi, nii et töö, mis teid salvestab, toimub enne muudatust, mitte sellele järgneva segamise ajal. Turvavõrk ei ole VPN-i lehel: see on taasteekraan, konsool või teine tee, mis ei jookse läbi muudetava seadme. Kavandan kõik kolm samale ruuteri liidesele, mida kavatsen redigeerida, ja kasutan teed ühe korra, kuni kõik töötab. See on ülevaade, mida ma järgin järjekorras.

Kõndige taastamisvoogu, enne kui seda vajate

Avage leht, mis teie muudatuse tagasi võtab. pfSense'is on Diagnostika > Varundamine ja taastamine; OpenWrt puhul on see Süsteem > Varundamine / Flash püsivara; OPNsense'is on see Süsteem > Konfiguratsioon > Varukoopiad, mis säilitab ka varasemad versioonid, millele saate naasta ilma failita. Te ei taasta veel midagi. Kontrollite, kas see leht avaneb sellelt teelt, mis teil muudatuse ajal on, kas see soovib pärast taaskäivitamist ja kas see lükkab tagasi mõne muu püsivara versiooniga kirjutatud arhiivi. Netgate dokumenteerib oma ekspordi- ja taastamisvoo aadressil docs.netgate.com.

Taastamine vahetab kogu konfiguratsiooni, nii et see ei ole ühe reegli tagasivõtmine. Arhiiv sisaldab kasutajaid, sertifikaate, VPN-võtmeid, tulemüürireegleid ja administraatoriliidese sätteid, mis otsustavad, kes võib sisse logida. Seetõttu ekspordin vahetult enne muudatust ja nimetan failile kuupäeva ja ühe sätte, mida kavatsen puudutada. Kuu vana faili taastamisel taastatakse ka kuu vanune tunnel ja kuu vanune võti.

Kui platvorm laadib arhiive ainult samast versioonist, pange see kohe tähele: püsivara uuendus ja VPN-i redigeerimine ühes aknas jätab teile faili, mida ruuter vastu ei võta.

Tõesta tunneli vahelejätmise viis

Teine SSH-seanss samast sülearvutist samale avalikule aadressile ei ole teine tee; mõlemad surevad koos. Sõltumatu tee on üks neist: jada- või KVM-konsool, hüperviisor või pilvekonsool, haldus-VLAN, mis on kättesaadav hostist, mis ei asu tunneli taga, teine WAN- või LTE-modem koos oma haldusreegliga või inimene kohapeal.

Testige valitud teed, kui ruuter on terve. Logige selle kaudu sisse, avage VPN-i leht ja lõpetage enne salvestamist. Kui lukustusreegel laseb sellel jõuda ainult armatuurlauale, on teil veel aega selle parandamiseks ja parandus peab asuma reegli järjekorras keelamisreegli kohal.

Enamik ruutereid seob administraatoriteenuse liidese või aadresside perekonnaga, nii et ribaväline marsruut peab jõudma sinna, kus see teenus kuulab. Akna sidumise laiendamine toimib küll, kuid see on ise muutus teele, millest sõltute.

Eksportige fail ja kirjutage päästik

Viige eksport ruuterilt ja masinast välja, mis võib tunneli kaotada. Ruuteri failisüsteemi salvestatud varukoopia kaob täpselt plaanitava tõrke korral ja sülearvutis istumine, mis hakkab ühenduvust kaotama, on vaevalt parem.

Käsitle seda faili mandaadina. See sisaldab privaatvõtmeid, eeljagatud saladusi, sertifikaadimaterjali ja parooliräsi, seega krüptige see või salvestage see sama hoolikalt kui ruuteri sisselogimine.

Seejärel kirjutage üks lause: kui ma ei saa PATH-st uut haldusseanssi avada N minuti jooksul pärast muudatust, taastan FILE ja taaskäivitan. Lause sunnib ulatuse alla ühe muutuja. Koos tehtud marsruudi, DNS-i ja tulemüüri muudatused salvestatakse kiiresti ja poolitatakse aeglaselt, kui saate veel ühe katse.

Kasutage kinnistamistaimerit, kui platvormil see on

Mitmed platvormid võtavad muudatuse teie eest tagasi, kui te seda ei kinnita. RouterOS-i turvarežiim, mis on terminalis sisestatud klahvikombinatsiooniga Ctrl+X, ennistab seansi katkestamisel seansi ajal tehtud muudatused. Junos lükkab tagasi kinnitamata kohustuse, mis on kinnitatud. Cisco IOS-i paarid laaditakse uuesti sisse koos uuesti laadimise tühistamisega. Ettevõtte tulemüürid teevad tavaliselt ootel muudatusi automaatse tagasipööramise taimeriga. OpenWrt-l ja enamikul tarbijatele mõeldud püsivaral pole midagi samaväärset, seega peab taimer olema väline: ajastatud taastamine, cron-töö, mis vahetab faili tagasi ja taaskäivitab teenuse, või taaskäivitamine eelmisele konfiguratsioonile.

Ärge eeldage, et sarnase nimega funktsioon hõlmab sama ulatust. Ühe toote automaatne taastamine võib hõlmata ainult tulemüürireegleid; teine võib hõlmata kogu konfiguratsiooni, sealhulgas haldusreeglit, mille muutsite, et hoida end kättesaadavana. Enne kui sellele lootma hakkate, lugege, mida taimer tagasi lülitab.

Taimer ei asenda eksporditud faili. See ebaõnnestub juhul, mis siin kõige olulisem on: seanss jääb ellu, haldustasand mitte ja miski ei käivita tagasipöördumist.

Testige uhiuut ühendust, mitte avatud ühendust

Väljakujunenud seanss töötab sageli läbi muudatuste, mis blokeerivad iga uue käepigistuse, kuna selle olek on juba olemas ja poliitikat hinnatakse ühenduse loomisel. Pärast muudatust looge kaugküljelt uued ühendused: värske SSH-seanss, värske VPN-käepigistus kliendilt, tavaline lehe laadimine ruuteri LAN-aadressile.

# run these from the remote machine, in a new shell
ssh -o ConnectTimeout=8 admin@"$ROUTER_WAN"
nc -vz "$ROUTER_WAN" 443
dig +short example.internal "@$ROUTER_LAN"

Seejärel testige tunnelist allavoolu, mitte tunnelit ennast: nimelahendus, TCP-ühendus siseteenusega ja rakendus, mida te tegelikult kasutate. Tunnel, mis loob, kuid ei edasta kasutatavat DNS-i, näeb kliendi olekus terve ja brauseris katki ning see erinevus otsustab, kas taastate faili või parandate ühe reegli.

Korrake seda pärast sunnitud lahtiühendamist ja uuesti ühendamist ning veel kord pärast taaskäivitamist, kui platvorm taaskäivitab oleku. Mõned konfiguratsioonid läbivad iga reaalajas testi ja ebaõnnestuvad esimesel alglaadimisel, kui uued reeglid on paigas.

Sulgege uksed, mille akna jaoks avasite

Eemaldage ajutine mis tahes allika administraatori reegel, äraviskamiskonto, laiendatud sidumine, lubav DNS-reegel ja silumise logimine. See eemaldamine on iseenesest muudatus teel, millest sõltute, nii et pärast seda käivitage värske ühenduse test uuesti kaugküljelt.

Hoidke eksporditud faili alles seni, kuni muudatus on läbinud taaskäivituse ja tõelise kliendi taasühendamise, seejärel pöörake kõike, mida jagasite, kui aken oli avatud. Konfiguratsioon, mis töötab kuni järgmise käivitamiseni, on vaikne viis ruuteri kaotamiseks nädal hiljem, kui keegi ei mäleta, milline reegel oli ajutine.

Kirjutage muudatus üles, kuhu järgmine inimene vaatab: mis liikus, milline fail selle tagasi võtab, milline tee konsooli jõuab ja milline reegel oli ajutine.

Enne VPN-i lehe avamist peab olemas olema neli asja: teie testitud taastevoog, tõestatud teine tee, eksporditud fail, kuhu saate tegelikult jõuda, ja kirjalik päästik. Kui mõni neist on puudu, parandage see kõigepealt. Muudatus võib oodata tund aega; blokeering ei saa.