Meitsje in seriale werstelrûte foar’t jo in GCE-VPN feroarje

In twadde SSH-finster op deselde ynterface is gjin werstelrûte. It dielt de rûte, de firewallregel en de daemon dy’t jo op it punt steane te feroarjen, dat it falt krekt op it momint dat jo it nedich hawwe. Foar’t jo VPN-rûtes op in Compute Engine-VM bewurkje, bewize trije aparte dingen: dat jo de seriale konsôle brûke meie, dat jo de útfier lêze kinne en dat de gast jo wier in login jout. De kontrôles hjirûnder geane yn dy folchoarder, de goedkeapste earst, sadat in ûntbrekkende tastimming ûntdutsen wurdt foar’t it útmakket.

Stap 1: befêstigje de tastimming oan de wolkekant

Neam de krekte VM, projekt en sône, en kontrolearje dan it troch de organisaasje goedkarde seriale tagongsbelied. De administrateur hat de relevante tastimming nedich, en ynteraktive seriale tagong moat ynskeakele wêze foar dat eksimplaar ûnder de jildende projekt- en organisaasjekontrôles.

Ferswakje gjin organisaasjebelied en skeakelje konsôletagong net foar in hiel projekt oan om ien masine foar te bereiden. Freegje de eigner it tastiene meganisme foar it eksperimint te regeljen, net tidens de steuring.

Stap 2: bewize dat jo útfier lêze kinne

It lêzen fan seriale útfier is de goedkeapste kontrôle, en it oefent it ferfier sûnder de gastlogin oan te reitsjen:

gcloud compute instances get-serial-port-output VM_NAME \
    --project PROJECT_ID --zone ZONE --port 1

Ferfange de identifikaasjes en brûk de tastiene poarte. Opstartberjochten en konsôlepetear fertelle jo dat it kanaal wurket. Se bewize net dat jo in shell krije kinne. Dêrom is dizze stap apart fan de folgjende.

Stap 3: bewize dat jo in ynteraktive login krije kinne

It ferbiningskommando iepenet in echte sesje, gjin foarbyld:

gcloud compute connect-to-serial-port VM_NAME \
    --project PROJECT_ID --zone ZONE --port 1

Behannel it as in libbene konsôle. Befêstigje it einpunt foar’t jo oanmeldgegevens yntype, want elke toets oanrekking lânet op it eksimplaar.

Hjir falt in plan dat folslein like útinoar. Wolktastimming is ien grins en de Linux-loginprompt is in oare, en it passearjen fan de earste seit neat oer de twadde.

Stap 4: meitsje oanmeldgegevens klear dy’t de gast akseptearret

Linux-ôfbyldings fan Google skeakelje standert gjin lokale oanmelding mei wachtwurd yn. In seriale sesje kin dêrom in loginprompt berikke en dêr stilhâlde, wachtsjend op oanmeldgegevens dy’t nimmen ynsteld hat.

In goedkard werstelakkount, of hokker dokumintearre gastloginnmetoade jo útrulling ek brûkt, moat bestean en test wurde. In SSH-kaai dy’t oer it netwurk wurket, befrediget net automatysk in konsôlewachtwurdprompt, dus kontrolearje de werklike OS Login- en kaai-regeling ynstee fan oan te nimmen dat dy dit gefal dekt.

Hâld werstel-oanmeldgegevens privee. In root-wachtwurd dat yn in iepenbier startup-script-foarbyld plakt wurdt, is in twadde ynsidint dat wachtet om te barren.

Stap 5: registrearje de eigner en de weromset

Foar’t jo eat feroarje, bewarje de wurkjende netwurkkonfiguraasje en skriuw op wa’t dy beheart, hokker VPN-tsjinst belutsen is en hoe’t in weromset útfierd wurdt. Fan in wurkjende sesje, fetsje de hjoeddeiske rûtes, regels en tsjinststatus.

Dat ferslach is wat in werstelkanaal yn in reparaasje feroaret, want de konsôle jout jo allinnich in prompt. Skriuw it foar de feroaring, net letter út it ûnthâld. In weromset kopyearre út in wiki is gjin weromset. It is in gissing mei in ferzjenûmer.

Stap 6: ferifiearje nei de feroaring

In besteande SSH-sesje kin in belied oerlibje dat nije blokkearret, dus testje mei in frisse normale administraasjesesje. Testje dêrnei it VPN-gedrach dat jo feroare hawwe, apart.

Hâld it werstelkanaal iepen oant beide kontrôles slagje, en slút it dêrnei neffens it tagongsbelied. As SSH al ferlern is en gjin konsôlelogin taret is, hâld dan op mei seriale tagong as feilichheidsnet te behanneljen en begjin de autorisearre akkountwerstel- of eksimplaar-reparaasjewurkstream. It opsetten fan in oare VM as jump host reparearret noch it paad fan de gast noch de ûntbrekkende oanmeldgegevens.