Kuinka suunnitella reitittimen VPN-palautus ennen etämuutosta

Olet muokkaamassa omaa istuntasi kuljettavaa tunnelia, joten sinua säästävä työ tapahtuu ennen muutosta, ei sen jälkeisen sekoituksen aikana. Suojaverkko ei ole VPN-sivulla: se on palautusnäyttö, konsoli tai toinen polku, joka ei kulje muokattavan laitteen läpi. Suunnittelen kaikki kolme samaan reitittimen käyttöliittymään, jota olen muokkaamassa, ja käytän polkua kerran, kun kaikki vielä toimii. Tämä on ohje, jota seuraan, järjestyksessä.

Kävele palautuskulkua ennen kuin tarvitset sitä

Avaa sivu, joka kumoaa muutoksen. pfSense on Diagnostiikka > Varmuuskopiointi ja palautus; OpenWrt:ssä se on Järjestelmä > Varmuuskopiointi / Flash-laiteohjelmisto; OPNsensessa se on Järjestelmä > Määritykset > Varmuuskopiot, joka säilyttää myös aiemmat versiot, joihin voit palata ilman tiedostoa. Et ole vielä palauttamassa mitään. Tarkistat, avautuuko sivu siltä polulta, joka sinulla on muutoksen aikana, haluaako se uudelleenkäynnistyksen jälkeenpäin ja hylkääkö se toisen laiteohjelmistoversion kirjoittaman arkiston. Netgate dokumentoi oman vienti- ja palautusvirtansa osoitteessa docs.netgate.com.

Palautus vaihtaa koko kokoonpanon, joten se ei ole yhden säännön kumoaminen. Arkisto sisältää käyttäjiä, varmenteita, VPN-avaimia, palomuurisääntöjä ja järjestelmänvalvojan käyttöliittymän asetuksia, jotka päättävät, kuka voi kirjautua sisään. Siksi viennin välittömästi ennen muutosta ja nimeän tiedoston päivämäärällä ja yhdellä asetuksella, jota aion koskettaa. Kuukauden vanhan tiedoston palauttaminen palauttaa myös kuukauden vanhan tunnelin ja kuukauden vanhan avaimen.

Jos alusta lataa vain saman julkaisun arkistoja, huomioi se nyt: laiteohjelmistopäivitys ja VPN-muokkaus yhdessä ikkunassa jättävät sinun pitämään tiedoston, jota reititin ei hyväksy.

Todista tapa, joka ohittaa tunnelin

Toinen SSH-istunto samasta kannettavasta tietokoneesta samaan julkiseen osoitteeseen ei ole toinen polku; molemmat kuolevat yhdessä. Itsenäinen polku on yksi näistä: sarja- tai KVM-konsoli, hypervisor- tai pilvikonsoli, hallinta-VLAN, joka on tavoitettavissa isännästä, joka ei ole tunnelin takana, toinen WAN- tai LTE-modeemi omalla hallintosäännöllä tai henkilö paikalla.

Testaa valittua polkua, kun reititin on kunnossa. Kirjaudu sisään sen kautta, avaa VPN-sivu ja lopeta ennen tallentamista. Jos lukitussääntö päästää sen vain kojelautaan, sinulla on vielä aikaa korjata se, ja korjauksen on oltava sääntöjärjestyksen estosäännön yläpuolella.

Useimmat reitittimet sitovat järjestelmänvalvojan palvelun käyttöliittymään tai osoiteperheeseen, joten kaistan ulkopuolisen reitin täytyy saapua sinne, missä palvelu kuuntelee. Ikkunan sidonnan laajentaminen toimii, mutta se on itsessään muutos polkuun, josta olet riippuvainen.

Vie tiedosto ja kirjoita laukaisin

Siirrä vienti pois reitittimestä ja koneesta, joka saattaa menettää tunnelinsa. Reitittimen tiedostojärjestelmään tallennettu varmuuskopio katoaa juuri suunnittelemassasi viassa, ja kannettavan tietokoneen ääressä istuminen, joka on menettämässä yhteyden, on tuskin parempi.

Käsittele tiedostoa valtuustietona. Se sisältää yksityisiä avaimia, esijaettuja salaisuuksia, sertifikaattimateriaalia ja salasanatiivisteitä, joten salaa se tai säilytä se yhtä huolellisesti kuin reitittimen kirjautuminen.

Kirjoita sitten yksi lause: jos en voi avata uutta hallintaistuntoa PATH:sta N minuutin kuluessa muutoksesta, palautan TIEDOSTON ja käynnistän uudelleen. Lause pakottaa soveltamisalan yhteen muuttujaan. Yhdessä tehdyt reitin, DNS:n ja palomuurin muokkaukset tallentuvat nopeasti ja jakautuvat hitaasti, kun saat vielä yhden yrityksen.

Käytä vahvistusajastinta, jos alustalla on sellainen

Useat alustat kumoavat muutoksen puolestasi, jos et vahvista sitä. RouterOS:n vikasietotila, joka syötetään päätteessä Ctrl+X:llä, palauttaa kyseisessä istunnossa tehdyt muutokset, kun istunto katkeaa. Junos peruuttaa vahvistamattoman sitoumuksen, joka on vahvistettu. Cisco IOS -parit latautuvat uudelleen ja lataus peruutetaan. Yrityspalomuurit toteuttavat yleensä odottavia muutoksia automaattisen palautusajastimen avulla. OpenWrt:llä ja useimmilla kuluttajien laiteohjelmistoilla ei ole mitään vastaavaa, joten ajastimen on oltava ulkoinen: ajoitettu palautus, cron-työ, joka vaihtaa tiedoston takaisin ja käynnistää palvelun uudelleen, tai uudelleenkäynnistys aiempaan kokoonpanoon.

Älä oleta, että samalla tavalla nimetty ominaisuus kattaa saman laajuuden. Yhden tuotteen automaattinen palautus voi kattaa vain palomuurisäännöt; toinen voi kattaa koko kokoonpanon, mukaan lukien hallintasäännön, jonka olet juuri muuttanut pitääksesi itsesi tavoitettavissa. Lue, mitä ajastin palauttaa, ennen kuin luotat siihen.

Ajastin ei korvaa vietyä tiedostoa. Se epäonnistuu siinä tapauksessa, jolla on tässä eniten merkitystä: istunto säilyy, hallintataso ei, eikä mikään koskaan käynnistä palautusta.

Testaa aivan uutta yhteyttä, ei avointa

Vakiintunut istunto käy usein läpi muutoksia, jotka estävät jokaisen uuden kättelyn, koska sen tila on jo olemassa ja käytäntö arvioidaan, kun yhteys luodaan. Luo muutoksen jälkeen uudet yhteydet etäpuolelta: uusi SSH-istunto, uusi VPN-kättely asiakkaalta, normaali sivulataus reitittimen LAN-osoitteeseen.

# run these from the remote machine, in a new shell
ssh -o ConnectTimeout=8 admin@"$ROUTER_WAN"
nc -vz "$ROUTER_WAN" 443
dig +short example.internal "@$ROUTER_LAN"

Testaa sitten tunnelin alavirtaan itse tunnelin sijaan: nimenselvitys, TCP-yhteys sisäiseen palveluun ja todellisuudessa käyttämäsi sovellus. Tunneli, joka muodostaa, mutta ei luovuta käyttökelpoista DNS:ää, näyttää terveeltä asiakkaan tilassa ja rikki selaimessa, ja tämä ero päättää, palautatko tiedoston vai korjaatko yhden säännön.

Toista pakotetun katkaisun ja yhdistämisen jälkeen ja vielä kerran uudelleenkäynnistyksen jälkeen, jos alusta ottaa uudelleen käyttöön käynnistyksen tilan. Jotkut kokoonpanot läpäisevät jokaisen live-testin ja epäonnistuvat ensimmäisessä käynnistyksessä, kun uudet säännöt ovat käytössä.

Sulje ovet, jotka avasit ikkunalle

Poista väliaikainen minkä tahansa lähteen järjestelmänvalvojan sääntö, poistotili, laajennettu sidonta, salliva DNS-sääntö ja virheenkorjausloki. Tämä poisto on itsessään muutos polulla, josta olet riippuvainen, joten suorita tuoreen yhteyden testi uudelleen sen jälkeen etäpuolelta.

Säilytä viety tiedosto, kunnes muutos on kestänyt uudelleenkäynnistyksen ja todellisen asiakasyhteyden muodostamisen, ja kierrä sitten kaikkea, mitä jaoit ikkunan ollessa auki. Seuraavaan käynnistykseen asti toimiva kokoonpano on hiljainen tapa menettää reititin viikkoa myöhemmin, kun kukaan ei muista, mikä sääntö oli väliaikainen.

Kirjoita muutos muistiin, mistä seuraava henkilö katsoo: mitä muutti, mikä tiedosto kumoaa sen, mikä polku pääsee konsoliin ja mikä sääntö oli väliaikainen.

Ennen kuin avaat VPN-sivun, on oltava olemassa neljä asiaa: testaamasi palautuskulku, toinen todentamasi polku, viety tiedosto, johon voit todella päästä, ja kirjallinen laukaisin. Jos jokin puuttuu, korjaa se ensin. Muutos voi odottaa tunnin; työsulku ei voi.