Como planificar unha recuperación VPN do enrutador antes dun cambio remoto

Estás a piques de editar o túnel que leva a túa propia sesión, polo que o traballo que che salva ocorre antes do cambio, non durante o revolto posterior. A rede de seguridade non está na páxina VPN: é a pantalla de restauración, unha consola ou un segundo camiño que non pasa polo dispositivo que estás editando. Planeo os tres na mesma interface do enrutador que estou a piques de editar e uso o camiño unha vez mentres todo aínda funciona. Este é o paso que sigo, por orde.

Percorre o fluxo de restauración antes de que o necesites

Abre a páxina que faría o cambio. En pfSense que é Diagnóstico > Copia de seguranza e restauración; en OpenWrt é Sistema > Backup / Flash Firmware; en OPNsense é Sistema > Configuración > Copia de seguranza, que tamén mantén as revisións anteriores ás que podes reverter sen un ficheiro. Aínda non estás restaurando nada. Estás a comprobar se esa páxina se abre desde o camiño que terás durante o cambio, se quere reiniciar despois e se rexeita un arquivo escrito por unha versión de firmware diferente. Netgate documenta o seu propio fluxo de exportación e restauración en docs.netgate.com.

Unha restauración intercambia toda a configuración, polo que non se desface por unha regra. O arquivo contén usuarios, certificados, claves VPN, regras de firewall e a configuración da interface de administración que decide quen pode iniciar sesión. Por iso exporto inmediatamente antes do cambio e nomeo o ficheiro coa data e a única configuración que pretendo tocar. Ao restaurar un ficheiro de un mes tamén se restaura un túnel de un mes e unha chave dun mes.

Se a plataforma só carga arquivos da mesma versión, fíxao agora: unha actualización de firmware máis unha edición de VPN nunha ventá deixache na man dun ficheiro que o enrutador non aceptará.

Proba unha forma de saltar o túnel

Unha segunda sesión SSH desde o mesmo portátil ao mesmo enderezo público non é un segundo camiño; ambos morren xuntos. O camiño independente é un destes: unha consola serie ou KVM, un hipervisor ou consola na nube, unha VLAN de xestión accesible desde un host que non está detrás do túnel, un segundo módem WAN ou LTE coa súa propia regra administrativa ou unha persoa no lugar.

Proba o camiño escollido mentres o enrutador estea saudable. Inicie sesión sobre el, abra a páxina VPN e pare antes de gardar. Se unha regra de bloqueo só permite que chegue ao panel de control, aínda tes tempo de solucionalo e a corrección debe situarse por riba da regra de denegación na orde da regra.

A maioría dos enrutadores vinculan o servizo de administración a unha interface ou a unha familia de enderezos, polo que unha ruta fóra de banda ten que chegar onde escoite ese servizo. Ampliar a ligazón para a fiestra funciona, pero é un cambio no camiño do que dependes.

Exporta o ficheiro e escribe o disparador

Move a exportación fóra do router e fóra da máquina que pode perder o seu túnel. Unha copia de seguridade almacenada no sistema de ficheiros do enrutador desaparece exactamente no fallo que está a planear, e unha que está sentada no portátil que está a piques de perder a conectividade é apenas mellor.

Trata ese ficheiro como unha credencial. Contén claves privadas, segredos previamente compartidos, material de certificado e hash de contrasinais, polo que cífrao ou gárdao co mesmo coidado que o inicio de sesión do enrutador.

A continuación, escriba unha frase: se non podo abrir unha nova sesión de xestión desde PATH dentro de N minutos despois do cambio, restauro FICHEIRO e reinicio. A frase obriga o alcance a unha variable. As edicións de rutas, DNS e cortalumes realizadas en conxunto son rápidas para gardar e lentas para cortarse en dos cando tes un intento máis.

Usa un temporizador de confirmación cando a plataforma o teña

Varias plataformas desfarán o cambio por ti se non o confirmas. O modo seguro de RouterOS, introducido con Ctrl+X nun terminal, reverte os cambios realizados nesa sesión cando a sesión cae. Junos recupera un compromiso non confirmado confirmado. Recarga de pares de Cisco IOS con cancelación de recarga. Os firewalls empresariais adoitan realizar cambios pendentes cun temporizador de reversión automática. OpenWrt e a maioría do firmware de consumo non teñen nada equivalente, polo que o temporizador ten que ser externo: unha restauración programada, un traballo cron que cambia un ficheiro e reinicia o servizo ou un reinicio na configuración anterior.

Non supoña que unha característica de nome similar cobre o mesmo ámbito. A reversión automática dun produto pode cubrir só as regras do firewall; outro pode cubrir toda a configuración, incluída a regra de xestión que acabas de cambiar para manterte accesible. Le o que inverte o temporizador antes de confiar nel.

Un temporizador non é un substituto dun ficheiro exportado. Falla no caso que máis importa aquí: a sesión sobrevive, o plano de xestión non, e nada desencadea nunca o retroceso.

Proba unha conexión nova, non a aberta

Unha sesión establecida a miúdo segue funcionando a través de cambios que bloquean cada novo apretón de mans, porque o seu estado xa existe e a política avalíase cando se crea unha conexión. Despois do cambio, cree novas conexións desde o lado remoto: unha nova sesión SSH, un novo apretón de mans VPN dun cliente, unha páxina normal de carga no enderezo LAN do enrutador.

# run these from the remote machine, in a new shell
ssh -o ConnectTimeout=8 admin@"$ROUTER_WAN"
nc -vz "$ROUTER_WAN" 443
dig +short example.internal "@$ROUTER_LAN"

A continuación, proba abaixo do túnel en lugar do propio túnel: resolución de nomes, conexión TCP a un servizo interno e aplicación que realmente usas. Un túnel que establece pero non reparte DNS utilizable parece saudable no estado do cliente e roto no navegador, e esa diferenza decide se restauras o ficheiro ou corrixas unha regra.

Repita despois dunha desconexión e conexión forzada, e unha vez máis despois dun reinicio se a plataforma volve aplicar o estado no inicio. Algunhas configuracións pasan todas as probas en directo e fallan no primeiro arranque coas novas regras.

Pecha as portas que abriches para a fiestra

Elimina a regra temporal de administración de calquera fonte, a conta descartable, a ligazón ampliada, a regra de DNS permisiva e o rexistro de depuración. Esa eliminación é en si un cambio no camiño do que dependes, así que volve executar a proba de conexión nova despois, desde o lado remoto.

Manteña o ficheiro exportado ata que o cambio sobreviva a un reinicio e a un cliente real, e despois xira todo o que compartiches mentres a xanela estaba aberta. Unha configuración que funciona ata o próximo arranque é unha forma tranquila de perder un enrutador unha semana despois, cando ninguén lembra que regra foi temporal.

Anota o cambio onde mira a seguinte persoa: o que se moveu, que ficheiro o desfai, que camiño chega á consola e que regra foi temporal.

Antes de abrir a páxina VPN, deben existir catro cousas: un fluxo de restauración que probaches, un segundo camiño que probaches, un ficheiro exportado ao que realmente podes acceder e un disparador escrito. Se falta algún, arranxao primeiro. O cambio pode esperar unha hora; un bloqueo non pode.