כיצד לתכנן החזרת VPN של נתב לפני שינוי מרחוק

אתה עומד לערוך את המנהרה הנושאת את ההפעלה שלך, כך שהעבודה שמצילה אותך מתרחשת לפני השינוי, לא במהלך הטירוף שאחריו. רשת הביטחון לא נמצאת בדף ה-VPN: זה מסך השחזור, קונסולה או נתיב שני שלא עובר במכשיר שאתה עורך. אני מתכנן את שלושתם באותו ממשק נתב שאני עומד לערוך, ואני משתמש בנתיב פעם אחת כשהכל עדיין עובד. זה ההליכה שאני עוקב אחריו, לפי הסדר.

בצע את זרימת השחזור לפני שאתה צריך את זה

פתח את הדף שיבטל את השינוי שלך. ב-pfSense זה אבחון > גיבוי ושחזור; ב-OpenWrt זה מערכת > גיבוי / קושחת פלאש; ב-OPNsense זה מערכת > תצורה > גיבויים, ששומר גם על גרסאות קודמות שניתן לחזור אליהן ללא קובץ. אתה עדיין לא משחזר כלום. אתה בודק האם הדף הזה נפתח מהנתיב שיהיה לך במהלך השינוי, האם הוא רוצה אתחול לאחר מכן, והאם הוא דוחה ארכיון שנכתב על ידי מהדורת קושחה אחרת. Netgate מתעדת את זרימת הייצוא והשחזור שלה ב- docs.netgate.com.

שחזור מחליף את כל התצורה, כך שזה לא ביטול עבור כלל אחד. הארכיון נושא משתמשים, אישורים, מפתחות VPN, כללי חומת אש והגדרות ממשק הניהול שמחליטות מי רשאי להיכנס. לכן אני מייצא מיד לפני השינוי ושם לקובץ את התאריך וההגדרה היחידה שבה אני מתכוון לגעת. שחזור קובץ בן חודש משחזר גם מנהרה בת חודש ומפתח בן חודש.

אם הפלטפורמה טוענת רק ארכיונים מאותה מהדורה, שים לב לזה עכשיו: שדרוג קושחה בתוספת עריכת VPN בחלון אחד משאירים אותך מחזיק קובץ שהנתב לא יקבל.

תוכיח דרך שמדלגת על המנהרה

הפעלת SSH שנייה מאותו מחשב נייד לאותה כתובת ציבורית אינה נתיב שני; שניהם מתים יחד. הנתיב העצמאי הוא אחד מאלה: קונסולת טורית או KVM, קונסולת היפרוויזר או ענן, VLAN ניהול הנגיש ממארח שאינו מאחורי המנהרה, מודם WAN או LTE שני עם כלל ניהול משלו, או אדם באתר.

בדוק את הנתיב שנבחר בזמן שהנתב תקין. היכנס מעליו, פתח את דף ה-VPN והפסק לפני השמירה. אם כלל נעילה רק מאפשר לו להגיע ללוח המחוונים, עדיין יש לך זמן לתקן את זה, והתיקון צריך לשבת מעל כלל הדחייה בסדר הכלל.

רוב הנתבים קושרים את שירות הניהול לממשק או למשפחת כתובות, כך שמסלול מחוץ לפס חייב להגיע למקום שבו שירות זה מאזין. הרחבת הכריכה עבור החלון אכן עובדת, אבל זה בעצמו שינוי לנתיב שאתה תלוי בו.

ייצא את הקובץ וכתוב את הטריגר

הזז את הייצוא מהנתב ומהמכונה שעלולה לאבד את המנהרה. גיבוי שמאוחסן במערכת הקבצים של הנתב נעלם בדיוק בכשל שאתה מתכנן לו, וישיבה אחת על המחשב הנייד שעומד לאבד קישוריות בקושי טובה יותר.

התייחס לקובץ הזה כאל אישור. הוא מחזיק מפתחות פרטיים, סודות משותפים מראש, חומרי אישור ו-hash של סיסמה, אז הצפין אותו או אחסן אותו באותה הקפדה כמו הכניסה לנתב.

לאחר מכן כתוב משפט אחד: אם איני יכול לפתוח סשן ניהול חדש מ-PATH תוך N דקות מהשינוי, אני משחזר את FILE ומפעיל מחדש. המשפט כופה את ההיקף למשתנה אחד. עריכות מסלול, DNS וחומת אש שבוצעו יחד מהירות שמירה ואיטות לחתוך כאשר אתה מקבל ניסיון נוסף.

השתמש בטיימר להתחייב כאשר לפלטפורמה יש כזה

מספר פלטפורמות יבטלו עבורך את השינוי אם לא תאשר אותו. RouterOS Safe Mode, המוזן באמצעות Ctrl+X בטרמינל, מחזיר את השינויים שבוצעו באותה הפעלה כאשר ההפעלה יורדת. Junos מחזיר לאחור התחייבות לא מאושרת שאושרה. Cisco IOS זוגות נטענים מחדש עם ביטול טעינה מחדש. חומות אש ארגוניות נוהגות לשלב שינויים ממתינים עם טיימר להחזרה אוטומטית. ל-OpenWrt ולרוב הקושחה הצרכנית אין שום דבר מקביל, אז שם הטיימר צריך להיות חיצוני: שחזור מתוזמן, עבודת cron שמחליף קובץ בחזרה ומפעיל מחדש את השירות, או אתחול מחדש לתצורה הקודמת.

אל תניח שתכונה בעלת שם דומה מכסה את אותו היקף. החזרה אוטומטית של מוצר אחד עשויה לכסות רק כללי חומת אש; אחר עשוי לכסות את כל התצורה, כולל כלל הניהול שזה עתה שינית כדי לשמור על עצמך נגיש. קרא מה הטיימר מחזיר לפני שאתה מסתמך עליו.

טיימר אינו תחליף לקובץ מיוצא. זה נכשל במקרה שהכי חשוב כאן: הפגישה שורדת, מטוס הניהול לא, ושום דבר לא מפעיל את החזרה.

בדוק חיבור חדש לגמרי, לא החיבור הפתוח

סשן מבוסס לעתים קרובות ממשיך לעבוד באמצעות שינויים שחוסמים כל לחיצת יד חדשה, מכיוון שהמצב שלו כבר קיים והמדיניות מוערכת כאשר נוצר חיבור. לאחר השינוי, צור חיבורים חדשים מהצד המרוחק: סשן SSH טרי, לחיצת יד חדשה של VPN מלקוח, טעינת עמוד רגילה לכתובת ה-LAN של הנתב.

# run these from the remote machine, in a new shell
ssh -o ConnectTimeout=8 admin@"$ROUTER_WAN"
nc -vz "$ROUTER_WAN" 443
dig +short example.internal "@$ROUTER_LAN"

לאחר מכן בדוק במורד המנהרה ולא את המנהרה עצמה: רזולוציית שם, חיבור TCP לשירות פנימי והאפליקציה שבה אתה משתמש בפועל. מנהרה שמקימה אך לא מחלקת DNS שמיש נראית בריאה בסטטוס הלקוח ושבורה בדפדפן, וההבדל הזה מחליט אם אתה משחזר את הקובץ או מתקן כלל אחד.

חזור לאחר ניתוק מאולץ וחיבור מחדש, ופעם נוספת לאחר אתחול מחדש אם הפלטפורמה מפעילה מחדש את המצב בעת האתחול. חלק מהתצורות עוברות כל מבחן חי ונכשלות באתחול הראשון עם הכללים החדשים.

סגור את הדלתות שפתחת לחלון

הסר את כלל הניהול הזמני מכל מקור, חשבון השלכה, הכריכה הרחבה, כלל ה-DNS המתיר ורישום באגים. ההסרה הזו היא בעצמה שינוי בנתיב שאתה תלוי בו, אז הפעל מחדש את מבחן החיבור הטרי לאחריה, מהצד המרוחק.

שמור את הקובץ המיוצא עד שהשינוי שרד אתחול מחדש וחיבור לקוח אמיתי, ואז סובב כל דבר ששיתפת בזמן שהחלון היה פתוח. תצורה שפועלת עד לאתחול הבא היא דרך שקטה לאבד נתב שבוע לאחר מכן, כשאף אחד לא זוכר איזה כלל היה זמני.

רשום את השינוי היכן האדם הבא מסתכל: מה זז, איזה קובץ מבטל אותו, איזה נתיב מגיע לקונסולה ואיזה כלל היה זמני.

לפני שאתם פותחים את דף ה-VPN, חייבים להתקיים ארבעה דברים: זרימת שחזור שבדקתם, נתיב שני שהוכחתם, קובץ מיוצא שאליו אתם באמת יכולים להגיע, וטריגר כתוב. אם חסר מישהו, תקן את זה קודם. השינוי יכול לחכות שעה; נעילה לא יכולה.