Ulkona omasta VPN-palvelimesta: pidä toinen reitti sisään
Rikkinäinen tunneli ei saisi viedä sinulta myöskään kykyä korjata palvelinta. Suunnittele, testaa ja tarkista riippumaton hallintareitti ennen kuin tarvitset sitä.
Avaat konsolin, muutat yhtä palomuurisääntöä ja tunneli, jonka kautta olit yhteydessä, katoaa. Muutos oli oikea, uudelleenlataus ei, ja nyt ainoa reitti takaisin koneeseen on se, jonka juuri rikoit. Toinen reitti sisään on suunnittelupäätös, ja sen on oltava olemassa ennen katkosta, ei sen aikana.
Käy läpi se, mitä sinulla vielä on
Aloita edessäsi olevasta konsolinäytöstä ja luettele reitit, jotka eivät riipu tunnelista. Palveluntarjoajan verkkokonsoli sarjayhteydellä tai VNC-istunnolla on yksi. Erillisessä verkossa oleva hallintaliittymä on toinen. Fyysinen pääsy on kolmas, ja juuri sen puuttumisen ihmiset huomaavat huonoimmalla hetkellä.
| Path | Depends on | Usually fails when |
|---|---|---|
| Provider console | Account access and the provider's own API | Credentials live in a wiki only reachable over the tunnel |
| Management subnet | A second interface and its own routing | The bad change was a global route or firewall policy |
| Second tunnel | A different listener, port and credentials | Both listeners were changed in the same edit |
| Physical or local console | Being in the building | Nobody has been in the building for a year |
Lue kolmatta saraketta vikaluettelona, älä abstraktiona. Kaksi noista reiteistä epäonnistuu yleensä samasta syystä. Taulukko on tapa huomata se ennen kuin katkos selittää sen sinulle.
Riippumattomuus on riippuvuuksien kysymys
Palautumistili ei ole riippumaton, jos sen salasana on tallennettu palveluun, johon pääset tunnelin kautta. Toinen VPN samalla isännällä, samalla portilla ja samalla palomuurikäytännöllä ei ole sekään riippumaton, koska muutos, joka rikkoi ensimmäisen, rikkoo molemmat.
Kulje ketjua alaspäin ja nimeä, mitä kukin vaihe tarvitsee. Verkon tavoitettavuus, nimien selvitys, todennuslähde ja itse hallintapalvelu ovat neljä erillistä riippuvuutta, ja reitti, joka jakaa minkä tahansa niistä, perii kyseisen vian.
Reitti, jota ei koskaan testattu, ansaitsee oman epäluulonsa. Konsoli, jota ei ole avattu kuukausiin, voi vaatia salasanan nollauksen sähköpostitse, ja se postilaatikko voi olla koneella, johon et pääse. Testaa reitti, kun kaikki toimii, ja löydät tämän rauhallisena iltapäivänä.
Käytä toista reittiä yhteen hallittuun muutokseen
Ota konsolista tilannekuva tai kopioi kokoonpano, jota olet muokkaamassa. Muuta yhtä asiaa. Lataa palvelu uudelleen ja lue tulos ennen kuin kosket mitään muuta, koska kaksi muutosta kerralla tekee palautuksesta kokeen.
Pidä palautumisistunto auki, kun teet sen. Toisen reitin koko arvo on siinä, että se kestää sen, mitä olet muuttamassa, joten sen sulkeminen ensin poistaa ainoan ominaisuuden, joka teki siitä hyödyllisen.
Varmista palautumisreitiltä, älä muistista
Merkitsevä tarkistus on se, palaako normaali reitti, ja palautumisistunto on paikka, jossa vahvistat sen järjestyksessä:
systemctl status openvpn-server@server --no-pager ss -lntup | grep -E ':(1194|443)\b' nft list ruleset | sed -n '1,40p' journalctl -u openvpn-server@server --since '-10 min' --no-pager | tail -n 30
Lue ensin palvelun tila, sitten kuuntelija, sitten säännöt, sitten loki. Palvelu, joka käy ilman kuuntelijaa, viittaa palvelun kokoonpanoon, kun taas kuuntelija ilman tavoitettavia sääntöjä viittaa suodatukseen. Järjestys on tärkeä, koska jokainen vaihe kaventaa seuraavaa, ja lokiin hyppääminen tarkoittaa yleensä sellaisten virheiden lukemista, jotka kuvaavat oireen eivätkä syytä.
systemctl-dokumentaatio kattaa tässä käytetyn tilan ja uudelleenkäynnistyksen toiminnan, mukaan lukien sen, miten epäonnistunut uudelleenlataus jättää edellisen prosessin käyntiin. Yhtenäisen version palauttaminen on parempi kuin toistuva uudelleenyhdistäminen asiakkaasta, joka ei pysty korjaamaan palvelinta. Jos ennen muutosta määrittelemäsi palautusehto täyttyy, palauta ja lopeta.
Pidä luettelo ajan tasalla
Tarkista käyttöoikeusluettelo, kun ihmiset tai infrastruktuuri muuttuvat. Testaa palautumisreitti, kun kaikki toimii. Poista käytöstä tilit, joita kukaan ei ole käyttänyt viimeisimmän uudelleenjärjestelyn jälkeen. Kaksi vanhentunutta tiliä ja yksi vanhentunut varmenne ovat pieni siivous tiistaina ja katkos sunnuntaina.
Kirjaa, kuka voi käyttää kutakin reittiä, mitä se sallii ja miten tunnistetiedot kierrätetään. Palautumisreitistä ilman omistajaa tulee unohdettu sisäänkäynti, mikä on eri tyyppinen vika kuin ulos lukittautuminen.