VPN-serverist välja lukustatud: hoidke teine tee sisse
Katkine tunnel ei tohiks võtta ka võimalust serverit parandada. Planeerige, testige ja vaadake üle sõltumatu haldustee enne, kui seda vajate.
Avad konsooli, muudad üht tulemüürireeglit ja tunnel, mille kaudu olid ühendatud, kaob. Muudatus oli õige, uuestilaadimine mitte, ja nüüd on ainus tee masinasse tagasi see, mille just lõhkusid. Teine sissepääs on projekteerimisotsus ja see peab olema olemas enne riket, mitte selle ajal.
Vaadake üle, mis teil veel alles on
Alusta ees olevast konsooliekraanist ja loetle teed, mis ei sõltu tunnelist. Teenusepakkuja veebikonsool koos jadapordi või VNC-seansiga on üks. Haldusliides eraldi võrgus on teine. Füüsiline juurdepääs on kolmas, ja just seda avastavad inimesed kõige halvemal hetkel puuduvat.
| Path | Depends on | Usually fails when |
|---|---|---|
| Provider console | Account access and the provider's own API | Credentials live in a wiki only reachable over the tunnel |
| Management subnet | A second interface and its own routing | The bad change was a global route or firewall policy |
| Second tunnel | A different listener, port and credentials | Both listeners were changed in the same edit |
| Physical or local console | Being in the building | Nobody has been in the building for a year |
Loe kolmandat veergu rikete loendina, mitte abstraktsioonina. Kaks neist teedest ebaõnnestub tavaliselt sama põhjuse tõttu. Tabel on viis, kuidas seda märgata enne, kui rike seda teile selgitab.
Sõltumatus on sõltuvuste küsimus
Taastekonto ei ole sõltumatu, kui selle parool on salvestatud teenusesse, kuhu pääsed tunnelist. Teine VPN samas hostis, samas pordis ja sama tulemüürireeglistikuga ei ole samuti sõltumatu, sest muudatus, mis lõhkus esimese, lõhub mõlemad.
Mine mööda ketti alla ja nimeta, mida iga samm vajab. Võrgu kättesaadavus, nimelahendus, autentimisallikas ja haldusteenus ise on neli eraldi sõltuvust ning tee, mis jagab ükskõik millist neist, pärib selle rikke.
Kunagi testimata tee väärib omaette kahtlust. Konsool, mida pole kuude jooksul avatud, võib nõuda parooli lähtestamist e-posti teel ja see postkast võib asuda masinas, kuhu te ei pääse. Testige teed, kui kõik töötab, ja leiate selle rahulikul pärastlõunal.
Kasutage teist teed ühe kontrollitud muudatuse jaoks
Tee konsoolist hetktõmmis või kopeeri konfiguratsioon, mida hakkad muutma. Muuda üht asja. Laadi teenus uuesti ja loe tulemust enne, kui midagi muud puutud, sest kaks muudatust korraga muudavad taastamise katseks.
Hoia taasteseanss selle ajal avatud. Teise tee kogu väärtus on selles, et see elab üle selle, mida muudate, seega selle esimesena sulgemine eemaldab ainsa omaduse, mis tegi selle kasulikuks.
Kontrollige taastetee pealt, mitte mälu järgi
Oluline kontroll on see, kas tavaline tee tuleb tagasi, ja taasteseanss on koht, kus te seda järjekorras kinnitate:
systemctl status openvpn-server@server --no-pager ss -lntup | grep -E ':(1194|443)\b' nft list ruleset | sed -n '1,40p' journalctl -u openvpn-server@server --since '-10 min' --no-pager | tail -n 30
Loe kõigepealt teenuse olekut, siis kuulajat, siis reegleid, siis logi. Ilma kuulajata töötav teenus viitab teenuse konfiguratsioonile, samas kui kuulaja ilma kättesaadavate reegliteta viitab filtreerimisele. Järjekord on oluline, sest iga samm kitsendab järgmist, ja logi juurde hüppamine tähendab tavaliselt vigade lugemist, mis kirjeldavad sümptomit, mitte põhjust.
systemctl dokumentatsioon hõlmab siin kasutatavat oleku- ja taaskäivitumiskäitumist, sealhulgas seda, kuidas ebaõnnestunud uuestilaadimine jätab eelmise protsessi tööle. Ühtse redaktsiooni taastamine on parem kui korduv uuesti ühendamine kliendist, mis ei suuda serverit parandada. Kui enne muudatust määratletud tagasipööramise tingimus on täidetud, taasta ja peatu.
Hoidke varaarvestus ajakohasena
Vaadake juurdepääsuloend üle, kui inimesed või taristu muutuvad. Testige taastetee, kui kõik töötab. Võtke tagasi kontod, mida keegi pole pärast viimast ümberkorraldust kasutanud. Kaks aegunud kontot ja üks aegunud sertifikaat on väike koristus teisipäeval ja rike pühapäeval.
Kirjutage üles, kes saab iga teed kasutada, mida see lubab ja kuidas volitusi roteeritakse. Omanikuta taastetee muutub unustatud sissepääsuks, mis on teist tüüpi rike kui välja lukustatud olemine.