Kako planirati vraćanje VPN-a usmjerivača prije daljinske promjene

Spremate se urediti tunel koji nosi vašu vlastitu sesiju, tako da se posao koji vas spašava događa prije promjene, a ne tijekom pretresa nakon nje. Sigurnosna mreža nije na stranici VPN-a: to je zaslon za vraćanje, konzola ili drugi put koji ne prolazi kroz uređaj koji uređujete. Sva tri planiram na istom sučelju usmjerivača koje ću urediti, a putanju koristim jednom dok sve još radi. Ovo je korak koji slijedim, redom.

Prođite tok vraćanja prije nego što vam zatreba

Otvorite stranicu koja bi poništila vašu promjenu. Na pfSenseu to je Diagnostics > Backup & Restore; na OpenWrt-u je System > Backup / Flash Firmware; na OPNsense je Sustav > Konfiguracija > Sigurnosne kopije, koji također čuva prethodne revizije na koje se možete vratiti bez datoteke. Još ništa ne obnavljate. Provjeravate otvara li se ta stranica s putanje koju ćete imati tijekom promjene, želi li ponovno pokretanje nakon toga i odbija li arhivu koju je napisalo drugo izdanje firmvera. Netgate dokumentira vlastiti tijek izvoza i vraćanja na docs.netgate.com.

Vraćanje mijenja cijelu konfiguraciju, tako da nije poništavanje jednog pravila. Arhiva sadrži korisnike, certifikate, VPN ključeve, pravila vatrozida i postavke administratorskog sučelja koje odlučuju tko se može prijaviti. Zato izvozim neposredno prije promjene i imenujem datoteku s datumom i jednom postavkom koju namjeravam dotaknuti. Vraćanje datoteke stare mjesec dana također vraća tunel star mjesec dana i ključ star mjesec dana.

Ako platforma učitava samo arhive iz istog izdanja, imajte na umu sada: nadogradnja firmvera i uređivanje VPN-a u jednom prozoru ostavljaju vam datoteku koju usmjerivač neće prihvatiti.

Dokažite put kojim se preskače tunel

Druga SSH sesija s istog prijenosnog računala na istu javnu adresu nije drugi put; oboje umiru zajedno. Neovisna staza je jedna od ovih: serijska ili KVM konzola, hipervizor ili konzola u oblaku, VLAN za upravljanje dostupan s hosta koji nije iza tunela, drugi WAN ili LTE modem s vlastitim administrativnim pravilom ili osoba na licu mjesta.

Testirajte odabrani put dok je ruter ispravan. Prijavite se preko njega, otvorite VPN stranicu i zaustavite se prije spremanja. Ako pravilo zaključavanja dopušta samo dolazak do nadzorne ploče, još uvijek imate vremena da to popravite, a ispravak mora biti iznad pravila odbijanja u redoslijedu pravila.

Većina usmjerivača veže administratorsku uslugu na sučelje ili obitelj adresa, tako da izvanpojasna ruta mora stići tamo gdje ta usluga sluša. Proširenje vezanja za prozor djeluje, ali je samo po sebi promjena puta o kojem ovisite.

Izvezite datoteku i napišite okidač

Premjestite izvoz s usmjerivača i sa stroja koji bi mogao izgubiti svoj tunel. Sigurnosna kopija pohranjena na datotečnom sustavu usmjerivača nestaje točno u onom kvaru koji planirate, a ono što sjedite na prijenosnom računalu koje će uskoro izgubiti vezu je jedva bolje.

Tretirajte tu datoteku kao vjerodajnicu. Sadrži privatne ključeve, unaprijed podijeljene tajne, materijal certifikata i raspršene lozinke, pa ga šifrirajte ili pohranite s istom pažnjom kao i prijavu na usmjerivač.

Zatim napišite jednu rečenicu: ako ne mogu otvoriti novu sesiju upravljanja iz PATH unutar N minuta od promjene, vraćam DATOTEKU i ponovno pokrećem sustav. Rečenica spušta opseg na jednu varijablu. Zajednička uređivanja rute, DNS-a i vatrozida brzo se spremaju i sporo prepolovljuju kada dobijete još jedan pokušaj.

Upotrijebite mjerač vremena za izvršavanje tamo gdje ga platforma ima

Nekoliko platformi poništit će promjenu umjesto vas ako je ne potvrdite. RouterOS Safe Mode, koji se u terminalu unese pomoću Ctrl+X, poništava promjene napravljene u toj sesiji kada sesija prekine. Junos vraća potvrđeno nepotvrđeno preuzimanje. Cisco IOS parovi se ponovno učitavaju s otkazivanjem ponovnog učitavanja. Vatrozidi poduzeća obično postavljaju promjene na čekanju pomoću vremenskog mjerača za automatsko vraćanje. OpenWrt i većina potrošačkih firmvera nemaju ništa ekvivalentno, tako da mjerač vremena mora biti vanjski: planirano vraćanje, cron posao koji vraća datoteku natrag i ponovno pokreće uslugu ili ponovno pokretanje u prethodnu konfiguraciju.

Nemojte pretpostavljati da značajka sličnog naziva pokriva isti opseg. Automatsko vraćanje jednog proizvoda može pokrivati samo pravila vatrozida; drugi može pokrivati cijelu konfiguraciju, uključujući pravilo upravljanja koje ste upravo promijenili kako biste bili dostupni. Pročitajte što tajmer vraća prije nego što se oslonite na njega.

Odbrojavanje nije zamjena za izvezenu datoteku. Ne uspijeva u slučaju koji je ovdje najvažniji: sesija preživi, upravljačka razina ne i ništa ne pokreće vraćanje.

Testirajte potpuno novu vezu, a ne otvorenu

Uspostavljena sesija često nastavlja raditi kroz promjene koje blokiraju svako novo rukovanje, jer njegovo stanje već postoji i politika se procjenjuje kada se uspostavi veza. Nakon promjene, stvorite nove veze s udaljene strane: nova SSH sesija, novo VPN rukovanje od klijenta, normalno učitavanje stranice na LAN adresu usmjerivača.

# run these from the remote machine, in a new shell
ssh -o ConnectTimeout=8 admin@"$ROUTER_WAN"
nc -vz "$ROUTER_WAN" 443
dig +short example.internal "@$ROUTER_LAN"

Zatim testirajte nizvodno od tunela umjesto samog tunela: razlučivost imena, TCP vezu s internom uslugom i aplikaciju koju zapravo koristite. Tunel koji uspostavlja, ali ne isporučuje upotrebljiv DNS izgleda zdravo u statusu klijenta i pokvaren u pregledniku, a ta razlika odlučuje hoćete li vratiti datoteku ili popraviti jedno pravilo.

Ponovite nakon prisilnog prekida veze i ponovnog povezivanja te još jednom nakon ponovnog pokretanja ako platforma ponovno primijeni stanje pri pokretanju. Neke konfiguracije prolaze svaki test uživo i padaju pri prvom pokretanju s novim pravilima.

Zatvorite vrata koja ste otvorili za prozor

Uklonite privremeno administratorsko pravilo bilo kojeg izvora, račun za bacanje, prošireno vezanje, permisivno DNS pravilo i bilježenje otklanjanja pogrešaka. To uklanjanje je samo po sebi promjena na putu o kojem ovisite, pa ponovno pokrenite test nove veze nakon njega, s udaljene strane.

Čuvajte izvezenu datoteku dok promjena ne preživi ponovno pokretanje i ponovno povezivanje stvarnog klijenta, zatim rotirajte sve što ste dijelili dok je prozor bio otvoren. Konfiguracija koja radi do sljedećeg pokretanja tihi je način da izgubite usmjerivač tjedan dana kasnije, kada se nitko ne sjeća koje je pravilo bilo privremeno.

Zapišite promjenu gdje sljedeća osoba gleda: što se pomaknulo, koja datoteka to poništava, koja staza dolazi do konzole i koje je pravilo privremeno.

Prije nego što otvorite VPN stranicu, moraju postojati četiri stvari: tijek vraćanja koji ste testirali, drugi put koji ste dokazali, izvezena datoteka kojoj zapravo možete pristupiti i pisani okidač. Ako neki nedostaje, prvo to popravite. Promjena može čekati sat vremena; blokada ne može.