Valmistele sarjapohjainen palautustie ennen GCE:n VPN-muutosta

Toinen SSH-ikkuna samassa rajapinnassa ei ole palautustie. Se jakaa reitin, palomuurisäännön ja daemonin, jota olet juuri muuttamassa, joten se pettää juuri sillä hetkellä, kun tarvitset sitä. Ennen kuin muokkaat VPN-reittejä Compute Engine -virtuaalikoneella, todista kolme erillistä asiaa: että saat käyttää sarjakonsolia, että pystyt lukemaan sen tulosteen ja että vieras todella antaa sinulle kirjautumisen. Alla olevat tarkistukset etenevät siinä järjestyksessä, halvin ensin, jotta puuttuva käyttöoikeus löydetään ennen kuin sillä on merkitystä.

Vaihe 1: vahvista pilven puolen käyttöoikeus

Nimeä tarkka virtuaalikone, projekti ja vyöhyke ja tarkista sitten organisaation hyväksymä sarjakäyttöpolitiikka. Ylläpitäjä tarvitsee asiaankuuluvan käyttöoikeuden, ja interaktiivinen sarjakäyttö on otettava käyttöön kyseiselle instanssille voimassa olevien projekti- ja organisaatio-ohjausobjektien alaisuudessa.

Älä heikennä organisaation käytäntöä äläkä kytke konsolikäyttöä päälle koko projektissa yhden koneen valmistelemiseksi. Pyydä omistajaa järjestämään sallittu mekanismi ennen koetta, ei keskeytyksen aikana.

Vaihe 2: todista, että pystyt lukemaan tulosteen

Sarjatulosteen lukeminen on halvin tarkistus, ja se harjoittaa siirtoa koskematta vieraan kirjautumiseen:

gcloud compute instances get-serial-port-output VM_NAME \
    --project PROJECT_ID --zone ZONE --port 1

Korvaa tunnisteet ja käytä sallittua porttia. Käynnistysviestit ja konsolin jutustelu kertovat, että kanava toimii. Ne eivät todista, että saat shellin. Siksi tämä vaihe on erillään seuraavasta.

Vaihe 3: todista, että saat interaktiivisen kirjautumisen

Yhteyskäsky avaa todellisen istunnon, ei esikatselua:

gcloud compute connect-to-serial-port VM_NAME \
    --project PROJECT_ID --zone ZONE --port 1

Kohtele sitä elävänä konsolina. Vahvista päätepiste ennen tunnistetietojen kirjoittamista, koska jokainen näppäinpainallus laskeutuu instanssille.

Tässä valmiilta näyttänyt suunnitelma hajoaa. Pilven käyttöoikeus on yksi raja ja Linuxin kirjautumiskehote toinen, eikä ensimmäisen läpäiseminen kerro mitään toisesta.

Vaihe 4: valmistele tunnistetiedot, jotka vieras hyväksyy

Googlen tarjoamat Linux-levykuvat eivät oletuksena salli paikallista salasanaan perustuvaa kirjautumista. Sarjaistunto voi siksi päästä kirjautumiskehotteeseen ja pysähtyä siihen odottamaan tunnistetietoa, jota kukaan ei asettanut.

Hyväksytyn palautustilin tai minkä tahansa dokumentoidun vieraskirjautumismenetelmän, jota käyttöönotto käyttää, on oltava olemassa ja testattu. Verkon yli toimiva SSH-avain ei automaattisesti täytä konsolin salasanakehotetta, joten tarkista todellinen OS Login- ja avainjärjestely sen sijaan, että olettaisit sen kattavan tämän tapauksen.

Pidä palautustunnistetiedot yksityisinä. Julkiseen startup-script-esimerkkiin liitetty root-salasana on toinen odottava tapahtuma.

Vaihe 5: kirjaa omistaja ja peruutus

Ennen kuin muutat mitään, säilytä toimiva verkkokokoonpano ja kirjoita muistiin, kuka sitä hallinnoi, mikä VPN-palvelu on mukana ja miten peruutus tehdään. Ota toimivasta istunnosta nykyiset reitit, säännöt ja palvelun tila.

Juuri tämä kirjaus muuttaa palautuskanavan korjaukseksi, koska konsoli antaa sinulle vain kehotteen. Kirjoita se ennen muutosta, ei jälkeen muistista. Wikistä kopioitu peruutus ei ole peruutus. Se on arvaus, jossa on versionumero.

Vaihe 6: tarkista muutoksen jälkeen

Olemassa oleva SSH-istunto voi selvitä käytännöstä, joka estää uudet, joten testaa tuoreella tavallisella ylläpitoistunnolla. Testaa sitten muuttamasi VPN-käyttäytyminen erikseen.

Pidä palautuskanava auki, kunnes molemmat tarkistukset menevät läpi, ja sulje se sen jälkeen käyttöoikeuskäytännön mukaisesti. Jos SSH on jo menetetty eikä konsolikirjautumista ole valmisteltu, lopeta sarjakäytön pitäminen turvaverkkona ja aloita valtuutettu tilin palautus- tai instanssin korjausprosessi. Toisen virtuaalikoneen pystyttäminen hyppykoneeksi ei korjaa vieraan polkua eikä puuttuvia tunnistetietoja.