VPN-palvelimen kokoonpanon turvallinen palauttaminen

Palvelimen palauttaminen on päätös siitä, mikä kerros petti, ei tiedostojen kopiointiharjoitus. Kokoonpano, tunnukset ja pakettiversiot liikkuvat eri kelloilla, ja yhden palauttaminen muiden pysyessä ajan tasalla tuottaa isäntäkoneen, joka näyttää terveeltä ja käyttäytyy epäjohdonmukaisesti. Alla oleva järjestys olettaa, että muutos on jo mennyt pieleen, ja pyytää palauttamaan pienimmän yhtenäisen tilan. Käy se läpi järjestyksessä ja pidä kaistan ulkopuolista pääsyn tarkistusta vaiheena, jota kenenkään ei pitäisi ohittaa.

Ota tarkistuspiste, jonka todella voit palauttaa

Kirjaa kokoonpano, jonka palvelu lukee käynnistyessään, yhdessä sen version kanssa, joka jäsensi sen viimeksi. Tiedosto, joka latautui puhtaasti vanhemmassa julkaisussa, voidaan hylätä tai jättää hiljaa huomiotta päivityksen jälkeen, joten versio kuuluu samaan muistiinpanoon. Ota mukaan aineisto, johon kokoonpano viittaa: yksityiset avaimet, varmenteiden polut, kuuntelijoiden määritelmät sekä DNS- ja palomuurimerkinnät, jotka tekevät palvelusta tavoitettavan. Jos palautus tarvitsisi tiedoston, jota et tallentanut, tarkistuspiste on puutteellinen.

Nimeä jokaisen asetuksen omistaja, kun järjestelmä on vielä terve. Palveluntarjoajan paneelin asentama reitti, isäntäkoneen palomuurin lisäämä reitti ja asiakkaille työnnetty reitti ovat kolme eri objektia, ja väärän palauttaminen jättää kaksi muuta paikoilleen. Lyhyt taulukko asetuksesta, omistajasta ja tiedostopolusta riittää.

Pidä mitätöinnit erillään kokoonpanosta

Vanha kokoonpano voi hiljaa yhdistää uudelleen laitteen, jonka poistit tarkoituksella, mikä muuttaa palautuksen tietoturvan taantumaksi. Säilytä nykyinen mitätöintiluettelo ja käytöstä poistetut tilit, kun palautat verkkokäytäntöä, ja ota ne uudelleen käyttöön ennen kuin palvelu hyväksyy asiakkaita.

Käsittele identiteetin tilaa omana palautuksenaan omine todisteineen. Varmenteiden mitätöintitiedostot, tilien poistaminen käytöstä ja MFA-rekisteröinti sijaitsevat harvoin samassa paikassa kuin taustapalvelun kokoonpano, eikä kokoonpanon palautus kosketa niitä. Tarkista nykyinen tila ensin, jotta tiedät, mikä on säilytettävä. Varmista palautuksen jälkeen, että poistettu identiteetti ei edelleenkään voi yhdistää.

Pääse isäntäkoneelle, kun tunneli pettää

Avaa reitti koneeseen, joka ei riipu muutettavasta komponentista. Hypervisor-konsoli, erillisen liitännän hallintaosoite tai sarjakonsoli kelpaavat kaikki; tunnelin kautta kuljetettu SSH-istunto ei. Jos ainoa sisäänkäynti on VPN, jonka aiot käynnistää uudelleen, huono reitti tai palomuurisääntö vie sinulta kyvyn korjata se. Testaa vaihtoehtoinen reitti ennen muutosta, ei sen jälkeen. Kirjaudu sen kautta kerran, varmista että sudo toimii ja merkitse muistiin käyttämäsi tarkka osoite.

Testi on yksinkertainen: laske tunneli alas, kun olet yhteydessä vaihtoehtoisen reitin kautta, ja katso, säilyykö istunto. Jos se katkeaa, löysit vian ennen kuin se ehti jättää sinut pulaan.

Käytä yhtä revisiota ja tiedä, milloin se astuu voimaan

Käytä palvelun reload- tai restart-dokumentaatiota ja selvitä, mitkä direktiivit luetaan missäkin hetkessä. Osa arvoista tulee voimaan reloadissa, toiset vasta kun uusi istunto tai prosessi alkaa, joten tiedoston muokkaaminen ei todista mitään käynnissä olevasta tilasta. Palauta yksi revisio sen sijaan, että sekoittaisit uuden tiedoston vanhaan ajonaikaiseen tilaan. Epäselvässä tapauksessa palvelun täysi uudelleenkäynnistys on helpompi perustella kuin osittainen reload.

Tarkista yksikön määritelmä ennen valintaa: systemctl show -p ExecReload openvpn@server kertoo, onko reload-koukkua ylipäätään olemassa. Käytä sitten revisio ja lue lokista ensimmäiset uudet virheet ennen kuin muutat mitään muuta.

Varmista, kirjaa ja tutki jälkeenpäin

Yhdistä yksi valtuutettu asiakas ja kokeile, mihin palvelu on tarkoitettu: nimien selvitys, uudelleenyhdistäminen ja sovellus, joka epäonnistui. Varmista, että mitätöity identiteetti hylätään edelleen. Kirjaa palautettu revisio, kellonaika ja syy, koska seuraava ylläpitäjä tarvitsee kaikki kolme. Palautuksesta, jota kukaan ei dokumentoinut, tulee arvoitus seuraavalla kerralla, kun palvelu käyttäytyy huonosti.

systemctl status openvpn@server --no-pager
journalctl -u openvpn@server -n 50 --no-pager

Kun palvelu on vakaa, toista epäonnistunut muutos isäntäkoneella tai tilannekuvassa, jonka voit heittää pois. Se erottaa huonon kokoonpanon huonosta paketista tai vanhentuneesta varmenteesta. Pidä palautettu kokoonpano versionhallinnassa, jotta seuraava tarkistuspiste alkaa tunnetusta commitista. Harjoituksen tarkoitus on dokumentoitu päätepiste, ei pysyvä alennus.