Búten jo VPN-server sletten: hâld in twadde wei nei binnen
In brutsen tunnel moat jo net ek it fermogen ûntnimme om de server te reparearjen. Plan, test en kontrolearje in ûnôfhinklike bestjoerlike wei foardat jo dy nedich binne.
Jo iepenje de konsôle, feroarje ien firewall-regel, en de tunnel dêr't jo troch ferbûn wiene ferdwynt. De feroaring wie goed, it opnij laden net, en no is de iennige wei werom nei de masine dy't jo krekt brutsen hawwe. In twadde wei nei binnen is in ûntwerpbeslissing, en dy moat bestean foar de útfal, net der ûnder.
Gean troch wat jo noch hawwe
Begjin by it konsôleskerm foar jo en lis de paden op dy't net fan de tunnel ôfhingje. In webkonsôle fan de leveransier mei in seriale sesje of VNC is ien. In behearinterface op in apart netwurk is in oare. Fysike tagong is in tredde, en dat is dejinge dêr't minsken op it minste momint ûntdekke dat er mist.
| Path | Depends on | Usually fails when |
|---|---|---|
| Provider console | Account access and the provider's own API | Credentials live in a wiki only reachable over the tunnel |
| Management subnet | A second interface and its own routing | The bad change was a global route or firewall policy |
| Second tunnel | A different listener, port and credentials | Both listeners were changed in the same edit |
| Physical or local console | Being in the building | Nobody has been in the building for a year |
Lês de tredde kolom as in list fan útfals en net as in abstraksje. Twa fan dy paden fale meastentiids om deselde reden. De tabel is hoe't jo dat merke foardat in útfal it jo útlizze.
Ûnôfhinklikens is in kwestje fan ôfhinklikheden
In werstelaccount is net ûnôfhinklik as syn wachtwurd bewarre is yn in tsjinst dy't jo troch de tunnel berikke. In twadde VPN op deselde host, deselde poarte en itselde firewallelibek is ek net ûnôfhinklik, want de feroaring dy't de earste bruts, brekt beide.
Gean de keatling del en beneam wat elke stap nedich hat. Netwurkberikberens, nammeoplossing, in autentikaasjeboarne en de beheardtsjinst sels binne fjouwer aparte ôfhinklikheden, en in paad dat ien fan dy dielt, erft dy útfal.
It paad dat nea test is, fertsjinnet syn eigen erchtinken. In konsôle dy't moannen net iepene is, kin in wachtwurdwerstel fia e-post easkje, en dat postfak kin host wurde op de masine dy't jo net berikke kinne. Test it paad wylst alles wurket, en jo fine dit op in rêstige middei.
Brûk de twadde wei foar ien kontrolearre feroaring
Nim fan de konsôle in momentopname of kopiearje de konfiguraasje dy't jo op it punt steane te bewurkjen. Feroarje ien ding. Laad de tsjinst opnij en lês it resultaat foardat jo eat oars oanreitsje, want twa feroarings tagelyk meitsje fan in werstel in eksperimint.
Hâld de werstelsesje iepen wylst jo dat dogge. De hiele wearde fan it twadde paad is dat it dat wat jo feroarje oerlibbet, dus as jo it earst slute, ferwiderje jo de iennige eigenskip dy't it nuttich makke.
Kontrolearje fan it werstelpaad, net út it ûnthâld
De kontrôle dy't ta docht is oft it normale paad weromkomt, en de werstelsesje is it plak dêr't jo dat yn folchoarder befêstigje:
systemctl status openvpn-server@server --no-pager ss -lntup | grep -E ':(1194|443)\b' nft list ruleset | sed -n '1,40p' journalctl -u openvpn-server@server --since '-10 min' --no-pager | tail -n 30
Lês earst de steat fan de tsjinst, dan de listener, dan de regels, dan it sjoernaal. In tsjinst dy't rint sûnder listener wiist op de tsjinstkonfiguraasje, wylst in listener sûnder berikbere regels op filters wiist. De folchoarder is wichtich omdat elke stap de folgjende ferfynt, en oerslaan nei it sjoernaal betsjut meastentiids flaters lêze dy't it symptoom beskriuwe, net de oarsaak.
De systemctl-dokumintaasje behannelet it steat- en werstartgedrach dat hjir brûkt wurdt, ynklusyf hoe't in mislearre opnij laden it foarige proses rinnen lit. In gearhingjende ferzje werstelle is better as hieltyd opnij ferbine fan in klant dy't de server net reparearje kin. As de weromsetbetingst dy't jo foar de feroaring definiearre hawwe foldien is, werstel dan en stop.
Hâld it ynventaris by
Kontrolearje de tagongslist as minsken of ynfrastruktuer feroarje. Test it werstelpaad wylst alles wurket. Lûk de accounts werom dy't nimmen sûnt de lêste reorganisaasje brûkt hat. Twa ferâldere accounts en ien ferrûn sertifikaat binne in lytse opromming op in tiisdei en in útfal op in snein.
Skriuw op wa't elk paad brûke kin, wat it talit en hoe't de bewiisstikken rotearre wurde. In werstelpaad sûnder eigner wurdt in fergetten yngong, wat in oare soart útfal is as bûten sletten wêze.