Hoe kinne jo in router VPN weromsette foardat in feroaring op ôfstân

Jo steane op it punt om de tunnel te bewurkjen dy't jo eigen sesje draacht, sadat it wurk dat jo rêdt bart foar de feroaring, net tidens de scramble dêrnei. It feiligensnet is net op 'e VPN-side: it is it werstelskerm, in konsole, of in twadde paad dat net rint troch it apparaat dat jo bewurkje. Ik plan alle trije op deselde router ynterface Ik bin op it punt om te bewurkjen, en ik brûk it paad ien kear wylst alles noch wurket. Dit is de walkthrough dy't ik folgje, yn oarder.

Rin de herstelstream foardat jo it nedich binne

Iepenje de side dy't jo wiziging ûngedien meitsje soe. Op pfSense is dat Diagnostyk> Reservekopy en weromsette; op OpenWrt is it Systeem> Reservekopy / Flash Firmware; op OPNsense is it Systeem> Konfiguraasje> Reservekopyen, dy't ek eardere ferzjes behâldt wêrop jo kinne weromgean sûnder in bestân. Jo binne noch neat weromsette. Jo kontrolearje oft dy side iepenet fanút it paad dat jo sille hawwe tidens de wiziging, oft it dêrnei opnij opstart wol, en oft it in argyf ôfwiist skreaun troch in oare firmware-release. Netgate dokumintearret syn eigen eksport en weromsette flow by docs.netgate.com.

In weromsette ruilet de hiele konfiguraasje, dus it is gjin ûngedien meitsje foar ien regel. It argyf befettet brûkers, sertifikaten, VPN-kaaien, firewall-regels, en de ynstellings fan 'e admin-ynterface dy't beslute wa't ynlogge meie. Dêrom eksportearje ik fuortendaliks foar de wiziging en neam it bestân mei de datum en de ienige ynstelling dy't ik oanreitsje wol. It werstellen fan in moanne-âlde triem herstelt ek in moanne-âlde tunnel en in moanne-âlde kaai.

As it platfoarm allinich argiven laadt fan deselde release, note it no: in firmware-upgrade plus in VPN-bewurking yn ien finster lit jo in bestân hâlde dy't de router net akseptearret.

Bewize in manier yn dat skip de tunnel

In twadde SSH-sesje fan deselde laptop nei itselde iepenbiere adres is gjin twadde paad; beide stjerre tegearre. It ûnôfhinklike paad is ien fan dizze: in serial of KVM konsole, in hypervisor of wolk konsole, in behear VLAN berikber fan in host dy't net efter de tunnel, in twadde WAN of LTE modem mei in eigen bestjoerlike regel, of in persoan op site.

Test it keazen paad wylst de router sûn is. Oanmelde der oer, iepenje de VPN-side en stopje foardat jo opslaan. As in lock-down regel it allinich it dashboard berikke lit, hawwe jo noch tiid om dat te reparearjen, en de korreksje moat boppe de wegeringsregel sitte yn 'e regelfolchoarder.

De measte routers bine de admintsjinst oan in ynterface of in adresfamylje, dus in rûte bûten de band moat oankomme wêr't dy tsjinst harket. It ferbreedzjen fan de bining foar it finster wurket wol, mar it is sels in feroaring oan it paad wêrfan jo ôfhinklik binne.

Eksportearje it bestân en skriuw de trigger

Ferpleats de eksport fan 'e router en fan' e masine dy't syn tunnel kin ferlieze. In reservekopy opslein op it routerbestânsysteem ferdwynt yn krekt de mislearring wêrfoar jo fan plan binne, en ien sitten op 'e laptop dy't de ferbining sil ferlieze is amper better.

Behannelje dat bestân as in bewiisbrief. It hâldt privee kaaien, foarôf dield geheimen, sertifikaatmateriaal en wachtwurdhashes, dus fersiferje it of bewarje it mei deselde soarch as de router-oanmelding.

Skriuw dan ien sin: as ik gjin nije behearsesje fan PATH kin iepenje binnen N minuten nei de feroaring, herstel ik FILE en herstart ik. De sin twingt de omfang omleech nei ien fariabele. Rûte-, DNS- en brânmuorre-bewurkingen dy't tegearre yngien binne, binne fluch op te slaan en stadich om te halvearjen as jo noch ien poging krije.

Brûk in commit timer wêr't it platfoarm ien hat

Ferskate platfoarms sille de feroaring foar jo ûngedien meitsje as jo it net befêstigje. RouterOS Safe Mode, ynfierd mei Ctrl + X yn in terminal, keart de wizigingen werom dy't makke binne yn dy sesje as de sesje sakket. Junos rôlet werom in net-befêstige commit befêstige. Cisco IOS pearen reload yn mei reload cancel. Enterprise-firewalls stadia faaks yn ôfwachting fan feroarings mei in timer foar automatysk weromsette. OpenWrt en de measte konsumintefirmware hawwe neat lykweardich, dus dêr moat de timer ekstern wêze: in plande weromsette, in cron-taak dy't in bestân werom wikselet en de tsjinst opnij starte, of in herstart yn 'e foarige konfiguraasje.

Nim net oan dat in lykneamde funksje itselde berik dekt. De auto-weromset fan ien produkt kin allinich firewallregels dekke; in oar kin de hiele konfiguraasje dekke, ynklusyf de behearsregel dy't jo krekt feroare hawwe om josels berikber te hâlden. Lês wat de timer weromkeart foardat jo derop fertrouwe.

In timer is gjin ferfanging foar in eksportearre triem. It mislearret yn it gefal dat hjir it meast fan belang is: de sesje oerlibbet, it behearsfleantúch net, en neat triggert oait de weromreis.

Test in gloednije ferbining, net de iepen

In fêststelde sesje bliuwt faaks wurkje troch feroaringen dy't elke nije handshake blokkearje, omdat syn steat al bestiet en belied wurdt evaluearre as in ferbining wurdt makke. Meitsje nei de wiziging nije ferbiningen fan 'e kant op ôfstân: in frisse SSH-sesje, in frisse VPN-handshake fan in kliïnt, in normale sidelading nei it router LAN-adres.

# run these from the remote machine, in a new shell
ssh -o ConnectTimeout=8 admin@"$ROUTER_WAN"
nc -vz "$ROUTER_WAN" 443
dig +short example.internal "@$ROUTER_LAN"

Test dan streamôfwerts fan 'e tunnel ynstee fan de tunnel sels: nammeresolúsje, in TCP-ferbining mei in ynterne tsjinst, en de applikaasje dy't jo eins brûke. In tunnel dy't fêststelt, mar jout gjin brûkbere DNS, sjocht sûn yn 'e clientstatus en brutsen yn' e browser, en dat ferskil bepaalt oft jo it bestân weromsette of ien regel reparearje.

Werhelje nei in twongen loskeppeling en opnij ferbine, en noch ien kear nei in herstarten as it platfoarm opnij tapasse steat by it opstarten. Guon konfiguraasjes passe elke live test en mislearje op 'e earste boot mei de nije regels yn plak.

Slút de doarren dy't jo foar it finster iepene hawwe

Fuortsmite de tydlike elke-boarne admin-regel, it throwaway-akkount, de ferbrede bining, de permissive DNS-regel, en de debug-logging. Dat ferwidering is sels in feroaring op it paad wêrfan jo ôfhinklik binne, dus de nije ferbiningstest dernei opnij útfiere, fanôf de ôfstân.

Hâld it eksportearre bestân oant de wiziging in trochstart hat oerlibbe en in echte kliïnt opnij ferbine, draaie dan alles wat jo dielde wylst it finster iepen wie. In konfiguraasje dy't wurket oant de folgjende boot is in rêstige manier om in router in wike letter te ferliezen, as gjinien ûnthâldt hokker regel tydlik wie.

Skriuw de feroaring op wêr't de folgjende persoan sjocht: wat is ferpleatst, hokker bestân makket it ûngedien, hokker paad berikt de konsole, en hokker regel wie tydlik.

Foardat jo de VPN-side iepenje, moatte fjouwer dingen bestean: in werstelstream dy't jo hawwe hifke, in twadde paad dat jo hawwe bewiisd, in eksportearre bestân dat jo werklik kinne berikke, en in skriftlike trigger. As ien ûntbrekt, reparearje dat dan earst. De feroaring kin in oere wachtsje; in lockout kin net.