چگونه یک روتر روتر روتر را قبل از تغییر از راه دور برنامه ریزی کنیم

شما در حال ویرایش تونلی هستید که جلسه خود را انجام می دهد، بنابراین کاری که شما را نجات می دهد قبل از تغییر اتفاق می افتد، نه در طول تقلا پس از آن. شبکه ایمنی در صفحه VPN نیست: این صفحه بازیابی، یک کنسول یا یک مسیر دوم است که از طریق دستگاهی که در حال ویرایش آن هستید اجرا نمی شود. من هر سه را روی همان رابط روتری که می‌خواهم ویرایش کنم، برنامه‌ریزی می‌کنم و یک بار از مسیر استفاده می‌کنم در حالی که همه چیز هنوز کار می‌کند. این مسیری است که من به ترتیب دنبال می کنم.

قبل از اینکه به جریان بازیابی نیاز داشته باشید، آن را طی کنید

صفحه ای را باز کنید که تغییر شما را لغو می کند. در pfSense که عبارت است از Diagnostics > Backup & Restore، در OpenWrt عبارت System > Backup / Flash Firmware است، در OPNsense عبارت System > Configuration > Backups است که همچنین نسخه های قبلی را نگه می دارد که می توانید بدون فایل به آنها برگردید. شما هنوز چیزی را بازیابی نمی کنید. شما بررسی می‌کنید که آیا آن صفحه از مسیری که در طول تغییر خواهید داشت باز می‌شود، آیا می‌خواهد پس از آن راه‌اندازی مجدد شود یا نه، و آیا بایگانی نوشته‌شده توسط یک نسخه فریم‌افزار متفاوت را رد می‌کند یا خیر. Netgate صادرات و بازیابی جریان خود را در docs.netgate.com مستند می کند.

بازیابی کل پیکربندی را تعویض می کند، بنابراین خنثی سازی برای یک قانون نیست. بایگانی شامل کاربران، گواهی‌ها، کلیدهای VPN، قوانین فایروال و تنظیمات رابط مدیر است که تصمیم می‌گیرد چه کسی می‌تواند وارد شود. به همین دلیل است که من بلافاصله قبل از تغییر صادر می کنم و نام فایل را با تاریخ و تنظیمی که قصد لمس آن را دارم می گذارم. بازیابی یک فایل یک ماهه همچنین یک تونل یک ماهه و یک کلید یک ماهه را بازیابی می کند.

اگر پلتفرم فقط بایگانی‌ها را از همان نسخه بارگیری می‌کند، اکنون به آن توجه کنید: ارتقای سیستم عامل به علاوه ویرایش VPN در یک پنجره باعث می‌شود فایلی را نگه دارید که روتر آن را نمی‌پذیرد.

راهی را ثابت کنید که از تونل می گذرد

دومین جلسه SSH از همان لپ‌تاپ به همان آدرس عمومی، مسیر دوم نیست، هر دو با هم می میرند. مسیر مستقل یکی از این موارد است: یک کنسول سریال یا KVM، یک هایپروایزر یا کنسول ابری، یک VLAN مدیریتی قابل دسترسی از میزبانی که پشت تونل نیست، یک مودم WAN یا LTE دوم با قانون مدیریتی خودش، یا یک شخص در سایت.

در حالی که روتر سالم است مسیر انتخاب شده را تست کنید. از طریق آن وارد شوید، صفحه VPN را باز کنید و قبل از ذخیره متوقف شوید. اگر یک قانون قفل کردن فقط به داشبورد اجازه می‌دهد به داشبورد برسد، هنوز زمان دارید تا آن را برطرف کنید، و اصلاح باید بالاتر از قانون انکار در ترتیب قانون قرار گیرد.

اکثر روترها سرویس مدیریت را به یک رابط یا یک خانواده آدرس متصل می کنند، بنابراین یک مسیر خارج از باند باید به جایی برسد که آن سرویس به آن گوش می دهد. گسترش اتصال برای پنجره کار می کند، اما خود تغییری در مسیری است که شما به آن وابسته هستید.

فایل را Export کنید و تریگر را بنویسید

صادرات را از روتر و دستگاهی که ممکن است تونل خود را گم کند خارج کنید. یک نسخه پشتیبان ذخیره شده در سیستم فایل روتر دقیقاً با شکستی که شما برای آن برنامه ریزی کرده اید ناپدید می شود، و بک آپی که روی لپ تاپ نشسته است و در حال از دست دادن اتصال است به سختی بهتر است.

با آن فایل به عنوان یک اعتبار رفتار کنید. کلیدهای خصوصی، اسرار از پیش به اشتراک گذاشته شده، مواد گواهی و هش رمز عبور را در خود نگه می دارد، بنابراین آن را رمزگذاری کنید یا با همان دقتی که ورود به روتر است، ذخیره کنید.

سپس یک جمله بنویسید: اگر نتوانم یک جلسه مدیریت جدید را از [[PATH]] در عرض N دقیقه پس از تغییر باز کنم، [[FILE]] را بازیابی و راه اندازی مجدد می کنم. جمله دامنه را به یک متغیر کاهش می دهد. ویرایش‌های مسیر، DNS و فایروال که با هم انجام می‌شوند، سریع ذخیره می‌شوند و وقتی یک بار دیگر تلاش می‌کنید، به کندی تقسیم می‌شوند.

از یک تایمر commit در جایی که پلتفرم دارای تایمر است استفاده کنید

اگر نتوانید آن را تأیید کنید، چندین پلتفرم این تغییر را برای شما لغو خواهند کرد. RouterOS Safe Mode که با Ctrl+X در ترمینال وارد می‌شود، تغییرات ایجاد شده در آن جلسه را هنگامی که جلسه کاهش می‌یابد، برمی‌گرداند. Junos یک commit تایید نشده را پس می‌گیرد و تایید شده است. جفت‌های سیسکو IOS با لغو بارگذاری مجدد، مجدداً بارگیری می‌شوند. فایروال های سازمانی معمولاً تغییرات معلق را با تایمر بازگردانی خودکار مرحله بندی می کنند. OpenWrt و اکثر سفت‌افزارهای مصرف‌کننده چیزی معادل ندارند، بنابراین تایمر باید خارجی باشد: یک بازیابی برنامه‌ریزی‌شده، یک کار cron که یک فایل را به عقب عوض می‌کند و سرویس را دوباره راه‌اندازی می‌کند، یا راه‌اندازی مجدد به پیکربندی قبلی.

فرض نکنید که یک ویژگی با نام مشابه همان محدوده را پوشش می دهد. بازگردانی خودکار یک محصول ممکن است فقط قوانین فایروال را پوشش دهد، دیگری ممکن است کل پیکربندی را پوشش دهد، از جمله قانون مدیریتی که به تازگی تغییر داده اید تا خود را در دسترس نگه دارید. قبل از اینکه به آن تکیه کنید بخوانید تایمر چه چیزی را برمی گرداند.

یک تایمر جایگزین فایل صادر شده نیست. در موردی که در اینجا مهم‌تر است، شکست می‌خورد: جلسه زنده می‌ماند، سطح مدیریت نه، و هیچ‌چیز هرگز بازگشت را آغاز نمی‌کند.

یک اتصال کاملاً جدید را تست کنید، نه اتصال باز

یک جلسه ثابت اغلب از طریق تغییراتی که مانع از هر دست دادن جدید می شود به کار خود ادامه می دهد، زیرا وضعیت آن از قبل وجود دارد و هنگام ایجاد یک اتصال، خط مشی ارزیابی می شود. پس از تغییر، اتصالات جدید را از سمت راه دور ایجاد کنید: یک جلسه SSH جدید، یک دست دادن VPN جدید از یک کلاینت، یک بارگذاری عادی صفحه به آدرس LAN روتر.

# run these from the remote machine, in a new shell
ssh -o ConnectTimeout=8 admin@"$ROUTER_WAN"
nc -vz "$ROUTER_WAN" 443
dig +short example.internal "@$ROUTER_LAN"

سپس پایین دست تونل را به جای خود تونل آزمایش کنید: وضوح نام، اتصال TCP به یک سرویس داخلی و برنامه‌ای که واقعاً استفاده می‌کنید. تونلی که ایجاد می کند اما هیچ DNS قابل استفاده ای ارائه نمی کند در وضعیت مشتری سالم و در مرورگر خراب به نظر می رسد، و این تفاوت تعیین می کند که آیا فایل را بازیابی کنید یا یک قانون را اصلاح کنید.

پس از قطع اجباری و وصل مجدد، و یک بار دیگر پس از راه‌اندازی مجدد اگر پلتفرم مجدداً وضعیت را در هنگام بوت اعمال کرد، این کار را تکرار کنید. برخی از پیکربندی‌ها با اجرای قوانین جدید، هر تست زنده را پشت سر می‌گذارند و در اولین راه‌اندازی شکست می‌خورند.

درهایی را که برای پنجره باز کردید ببندید

قانون موقت مدیریت هر منبع، حساب دور انداخته، اتصال گسترده، قانون DNS مجاز، و ثبت اشکال زدایی را حذف کنید. این حذف خود تغییری در مسیری است که شما به آن وابسته هستید، بنابراین تست اتصال تازه را بعد از آن، از سمت راه دور دوباره اجرا کنید.

فایل صادر شده را تا زمانی که تغییر پس از راه‌اندازی مجدد و اتصال مجدد مشتری واقعی حفظ شود، نگه دارید، سپس هر چیزی را که به اشتراک گذاشته‌اید در زمانی که پنجره باز بود بچرخانید. پیکربندی که تا راه‌اندازی بعدی کار می‌کند، راهی آرام برای از دست دادن روتر یک هفته بعد است، زمانی که هیچ‌کس به خاطر نمی‌آورد کدام قانون موقتی است.

تغییر را در جایی که فرد بعدی نگاه می کند بنویسید: چه چیزی منتقل شده است، کدام فایل آن را لغو می کند، کدام مسیر به کنسول می رسد، و کدام قانون موقت است.

قبل از باز کردن صفحه VPN، چهار چیز باید وجود داشته باشد: یک جریان بازیابی که آزمایش کرده‌اید، یک مسیر دوم که ثابت کرده‌اید، یک فایل صادراتی که در واقع می‌توانید به آن دسترسی پیدا کنید، و یک ماشه نوشتاری. اگر یکی از آنها گم شده است، ابتدا آن را برطرف کنید. تغییر می تواند یک ساعت صبر کند، قفل نمی تواند.