Järelevalveta VPN-serveri uuendused vajavad testitud taasteteed
Uuendus võib taaskäivitada täpselt selle teenuse, mille kaudu serverini jõuate. Võrrelge välisriistvaralist konsooli ainult tunnelipõhise taasteplaaniga enne automatiseerimist.
Järelevalveta uuendused on mõistlik poliitika serveri jaoks, kuhu jõuate selle enda VPN-i kaudu, ja samal ajal on need üks ainuke ise tekitatud tõrke punkt. Paketitoiming taaskäivitab teenuse, tunnel kukub ja haldustee, mida kasutasite, kaob koos sellega. Olemas on kaks taastemudelit ja valik nende vahel sõltub ühest tingimusest: kas teil on sisenemistee, mis ei läbi seda, mida uuendatakse.
Kaks taastemudelit, üks otsustav tingimus
Esimene mudel usaldab uuendust ja eeldab, et saate hiljem uuesti ühenduda. See töötab siis, kui VPN on üks mitmest viisist hostini jõudmiseks ja kui tunneli tõrge ei võta teilt võimalust seda diagnoosida. Teine mudel paigutab eelnevalt sõltumatu tee, tavaliselt hostimisteenuse pakkuja konsooli, ja käsitleb tunnelit asjana, mille hooldus kõige tõenäolisemalt katki teeb. Mõlemad mudelid on kaitstavad ja ainult üks neist nõuab eelnevat tööd.
Otsustavat tingimust on lihtne välja öelda ja lihtne vahele jätta. Kui iga haldustee masinani kulgeb läbi uuendatava teenuse, ei ole teil üldse taastemudelit, vaid ainult ootus. Öelge seda muudatuse ülevaatusel valjusti.
Selle tingimuse testimine võtab kümme minutit ja peab toimuma enne esimest järelevalveta uuendust, mitte intsidendi ajal. Avage konsool, kui kõik töötab, kinnitage, et volitused on kehtivad, ja sulgege see uuesti. Kinnitage, et konsool avaneb hostile, mida te arvate. Seejärel kinnitage, et sisselogimine, mida te tegelikult kell 3 öösel kasutaksite, töötab endiselt.
See viimane osa loeb rohkem, kui kõlab. Konsoolikonto, mille parool vahetati kuus kuud tagasi ja mida ei kontrollitud kunagi, ei ole taastetee; see on dokument, mis sellist teed kirjeldab.
Mida varukoopia ei taasta
Konfiguratsiooniarhiiv on failide kirje ja uuendus muudab enamat kui faile. Paketi olek, kerneli moodulid, lubatud üksuste lingid ja eraldi tööriistaga rakendatud tulemüürireeglid elavad kõik konfiguratsioonikataloogist väljaspool, ja taaste, mis neid eirab, annab masina, mis näeb konfigureerituna välja ega edasta.
| What changed | Restored by a configuration backup | Needs its own action |
|---|---|---|
| Service unit or startup ordering | Partly, if the unit file was included | Package state and enabled links |
| Kernel module or interface support | No | Kernel or module rollback, or a boot-time decision |
| Peer or device authorization | Only if the backup predates the revocation | A deliberate decision about which peers return |
| Firewall rules applied outside the config | Only if they were captured | Replaying and verifying each rule |
Autoriseerimine väärib omaette rida. Enne kompromiteeritud seadme eemaldamist tehtud varukoopia taastab hea meelega selle seadme juurdepääsu. Katkestuse ajal selle juurde tagasi pöördumine on viis, kuidas ühest intsidendist saab kaks, ja taasteotsus tuleks vastaste kohta teha sama selgesõnaliselt kui failide kohta.
Ka tagasipööramise mehhanism on oluline. Vanema käivitatava faili kopeerimine paketihallatava peale ei ole paketimuudatuse toetatud tagasipööramine ja jätab paketiandmebaasi kirjeldama olekut, millega failisüsteem ei vasta. Kasutage paketihalduri enda allaviimise teed või pakkuja pakutavat hetktõmmist. Allaviimine, mille paketiandmebaas registreerib, on see, mida saate korrata.
Miski sellest ei vaidle varukoopiate vastu. See vaidleb selle poolt, et teaksite, millist kihti iga artefakt katab, sest osalise taaste tõrkeviis on segadust tekitavam kui algne katkestus. Kirjutage kiht runbookis iga varukoopia kõrvale.
Kontrollpunkt, uuendus ja seejärel kontroll väljastpoolt
Registreerige olek enne muudatust kujul, mida saate hiljem võrrelda: paigaldatud versioonid, asjassepuutuvad teenuseüksused, kuulavad soketid ja praegune vastaste loend. Neli käsku katavad Linuxi hostis suurema osa sellest.
systemctl list-units --type=service | grep -E 'openvpn|wg-quick'
ss -lunp | grep -E ':51820|:1194'
journalctl -u wg-quick@wg0 --since '-10 min'Esimene näitab, millised üksused on olemas ja kas need töötavad, teine kinnitab, et kuulaja on tõesti seotud, ja kolmas annab teile teenuse enda ülevaate viimastest minutitest. Ükski neist ei tõesta, et klient saab ühenduda, seepärast toimub järgmine samm väljaspool hosti. Hoidke neid lugemeid oma võrdlusalusena.
Kontrollige võrgust, mis tunnelit ei kasuta: autentige üks volitatud klient, lahendage nimi ja jõudke ühe kavandatud rakenduseni. Kohalik olekurida, mis ütleb, et liides on üleval, on väide liidese kohta, mitte marsruutimise, võtmete või vastase lubava poliitika kohta.
Seejärel testige taastähendamise teed sihilikult. Taaskäivitage teenus üks kord ja kinnitage, et tunnel tuleb tagasi ilma käsitsi sekkumiseta, sest teenus, mis käivitub korralikult ainult alglaadimisel, on teenus, mis üllatab teid halvimal hetkel.
Kui see ebaõnnestub, kasutage teed, mida testisite
Taastejada ei ole glamuursne ja see töötab: jõudke hostini sõltumatut teed pidi, lugege teenuse enda logisid ja taastage konkreetne kontrollpunkt, mis vastab tõrkele. Muutke üks asi korraga, et järgmine logilugemine midagi tähendaks.
Vastustage kiusatust teha mitu registreerimata muudatust, et ühenduvus tagasi saada. Masinat, mis parandati viie samaaegse muudatusega, ei saa hiljem selgitada, ja järgmine uuendus toob tagasi selle, mis tegelikult koormust kandis.
Seejärel otsustage püsiv poliitika tõenditega. Kui uuendus paljastas sõltuvuse, mida keegi ei dokumenteerinud, on paranduseks dokumentatsioon ja test, mitte uuenduste väljalülitamine. Kui see paljastas teenuse, mis ei saa puhtalt taaskäivituda, on parandus üksuses, mitte ajakavas.
Võrdlus laheneb puhtalt niipea, kui tingimus on nimetatud. Sõltumatu tee muudab järelevalveta uuendused juhitavaks riskiks. Selle puudumine muudab sama poliitika plaaniliseks katkestuseks tundmatu taasteajaga ja ükski automatiseerimise hulk ei muuda seda aritmeetikat.