Prestatu serieko berreskuratze-bide bat GCEko VPNa aldatu aurretik

Interfaze bereko bigarren SSH leiho bat ez da berreskuratze-bidea. Aldatzeko zorian duzun ibilbidea, suebakiko araua eta daemona partekatzen ditu, beraz, behar duzun une zehatzean huts egiten du. Compute Engine VM bateko VPN ibilbideak editatu aurretik, frogatu hiru gauza bereizi: serie-kontsola erabil dezakezula, haren irteera irakur dezakezula eta gonbidatuak benetan saio-hasiera emango dizunik. Beheko egiaztapenak ordena horretan egiten dira, merkeena lehenengo, falta den baimena garrantzia izan aurretik aurkitu dadin.

1. urratsa: berretsi hodeiko baimena

Izenda itzazu VM, proiektu eta zona zehatzak, eta gero egiaztatu erakundeak onartutako serie-sarbidearen politika. Administratzaileak dagokion baimena behar du, eta serie-sarbide interaktiboa gaituta egon behar da instantzia horretarako indarrean dauden proiektu- eta erakunde-kontrolek pean.

Ez ahuldu erakunde-politika bat eta ez aktibatu kontsola-sarbidea proiektu osoan makina bat prestatzeko. Eskatu jabeari baimendutako mekanismoa esperimentuaren aurretik antola dezala, ez etenaldian zehar.

2. urratsa: frogatu irteera irakur dezakezula

Serie-irteera irakurtzea egiaztapen merkeena da, eta garraioa erabiltzen du gonbidatuaren saio-hasiera ukitu gabe:

gcloud compute instances get-serial-port-output VM_NAME \
    --project PROJECT_ID --zone ZONE --port 1

Ordeztu identifikatzaileak eta erabili baimendutako ataka. Abio-mezuek eta kontsola-hizketak kanala funtzionatzen duela esaten dute. Ez dute frogatzen shell bat lor dezakezunik. Horregatik dago urrats hau hurrengotik bereizita.

3. urratsa: frogatu saio-hasiera interaktiboa lor dezakezula

Konexio-komandoak benetako saioa irekitzen du, ez aurrebista:

gcloud compute connect-to-serial-port VM_NAME \
    --project PROJECT_ID --zone ZONE --port 1

Trata ezazu kontsola bizia balitz bezala. Egiaztatu amaierako puntua kredentzialak idatzi aurretik, tekla-sakada bakoitza instantzian lurreratzen delako.

Hemen erortzen da osoa zirudien plana. Hodeiko baimena muga bat da eta Linuxen saio-hasierako gonbita beste bat da, eta lehenengoa gainditzeak ez du ezer esaten bigarrenaz.

4. urratsa: prestatu gonbidatuak onartuko dituen kredentzialak

Googlek emandako Linux irudiek ez dute gaitzen tokiko pasahitz bidezko saio-hasiera lehenespenez. Beraz, serie-saio batek saio-hasierako gonbit batera iritsi eta han gera daiteke, inork ezarri gabeko kredentzial baten zain.

Onartutako berreskuratze-kontu batek, edo zure hedapenak erabiltzen duen gonbidatuaren saio-hasierako metodo dokumentaturen batek, egon eta probatuta egon behar du. Sarean funtzionatzen duen SSH gako batek ez du automatikoki kontsola-pasahitz gonbita betetzen, beraz, egiaztatu benetako OS Login eta gakoen antolaketa kasu hau estaltzen duela suposatu beharrean.

Eduki itzazu berreskuratze-kredentzialak pribatian. startup-script adibide publiko batean itsatsitako root pasahitz bat gertatzeko zain dagoen bigarren gertaera bat da.

5. urratsa: erregistratu jabea eta atzera-egitea

Edozer aldatu aurretik, gorde sare-konfigurazioa eta idatzi nor den haren kudeatzailea, zein VPN zerbitzu dagoen tartean eta nola egiten den atzera-egitea. Lanean ari den saio batetik, hartu uneko ibilbideak, arauak eta zerbitzuaren egoera.

Erregistro horrek bihurtzen du berreskuratze-kanala konponketa, kontsola-k gonbita soilik ematen dizulako. Idatzi aldaketaren aurretik, ez geroago memoriatik. Wikitik kopiatutako atzera-egitea ez da atzera-egitea. Bertsio-zenbaki bat duen uste bat da.

6. urratsa: egiaztatu aldaketaren ondoren

Lehendik dagoen SSH saio batek berriak blokeatzen dituen politika biziraun dezake, beraz probatu administrazio-saio normal berri batekin. Gero probatu aldatu duzun VPN portaera, bereizita.

Mantendu berreskuratze-kanala irekita bi egiaztapenak pasa arte, eta gero itxi sarbide-politikaren arabera. SSH dagoeneko galdu bada eta kontsola-sarbiderik prestatu ez bada, utzi serie-sarbidea segurtasun-sare gisa tratatzeari eta hasi baimendutako kontu-berreskuratze edo instantzia-konponketa lan-fluxua. Beste VM bat jump host gisa altxatzeak ez du konpontzen ez gonbidatuaren bidea ez falta diren kredentzialak.