Készítsen soros helyreállítási utat a GCE VPN módosítása előtt

Egy második SSH-ablak ugyanazon a felületen nem helyreállítási út. Osztozik azon az útvonalon, tűzfal-szabályon és démonon, amelyet éppen módosítani készül, ezért pontosan abban a pillanatban hibázik, amikor szüksége van rá. Mielőtt VPN-útvonalakat szerkeszt egy Compute Engine VM-en, bizonyítson három külön dolgot: hogy használhatja a soros konzolt, hogy el tudja olvasni annak kimenetét, és hogy a vendég valóban ad Önnek bejelentkezést. Az alábbi ellenőrzések ebben a sorrendben futnak, a legolcsóbbal kezdve, hogy egy hiányzó engedély még azelőtt kiderüljön, mielőtt számítana.

1. lépés: erősítse meg a felhőoldali engedélyt

Nevezze meg a pontos VM-et, projektet és zónát, majd ellenőrizze a szervezet jóváhagyott soros hozzáférési szabályzatát. A rendszergazdának szüksége van a vonatkozó engedélyre, és az interaktív soros hozzáférést engedélyezni kell ahhoz a példányhoz a hatályos projekt- és szervezeti vezérlők alatt.

Ne gyengítsen egy szervezeti szabályzatot, és ne kapcsolja be a konzolhozzáférést egy egész projektre egyetlen gép előkészítéséhez. Kérje meg a tulajdonost, hogy az engedélyezett mechanizmust a kísérlet előtt intézze el, ne a kiesés alatt.

2. lépés: bizonyítsa, hogy el tudja olvasni a kimenetet

A soros kimenet olvasása a legolcsóbb ellenőrzés, és gyakorolja az átvitelt anélkül, hogy hozzányúlna a vendég bejelentkezéséhez:

gcloud compute instances get-serial-port-output VM_NAME \
    --project PROJECT_ID --zone ZONE --port 1

Cserélje ki az azonosítókat, és használja az engedélyezett portot. Az indítási üzenetek és a konzol fecsegése jelzik, hogy a csatorna működik. Nem bizonyítják, hogy shellt kaphat. Ezért ez a lépés külön áll a következőtől.

3. lépés: bizonyítsa, hogy interaktív bejelentkezést kaphat

A kapcsolódási parancs valódi munkamenetet nyit, nem előnézetet:

gcloud compute connect-to-serial-port VM_NAME \
    --project PROJECT_ID --zone ZONE --port 1

Kezelje élő konzolként. Erősítse meg a végpontot, mielőtt hitelesítő adatokat gépel, mert minden billentyűleütés a példányra érkezik.

Itt esik szét egy teljesnek látszó terv. A felhőengedély az egyik határ, a Linux bejelentkezési kérés a másik, és az első átlépése semmit sem mond a másodikról.

4. lépés: készítsen olyan hitelesítő adatokat, amelyeket a vendég elfogad

A Google által biztosított Linux-lemezképek alapértelmezés szerint nem engedélyezik a helyi jelszavas bejelentkezést. Egy soros munkamenet ezért eljuthat egy bejelentkezési kéréshez, és ott megállhat, olyan hitelesítő adatra várva, amelyet senki sem állított be.

Jóváhagyott helyreállítási fióknak, vagy bármilyen dokumentált vendég-bejelentkezési módszernek, amelyet az üzemeltetés használ, léteznie kell és tesztelni kell. A hálózaton működő SSH-kulcs nem elégíti ki automatikusan a konzol jelszókérését, ezért ellenőrizze a tényleges OS Login- és kulcsbeállítást ahelyett, hogy feltételezné, hogy lefedi ezt az esetet.

Tartsa privátan a helyreállítási hitelesítő adatokat. Egy nyilvános startup-script példába illesztett root jelszó egy második incidens, amely megtörténésre vár.

5. lépés: rögzítse a tulajdonost és a visszaállítást

Mielőtt bármit módosítana, őrizze meg a működő hálózati konfigurációt, és írja le, ki kezeli azt, melyik VPN-szolgáltatás érintett, és hogyan történik a visszaállítás. Egy működő munkamenetből rögzítse a jelenlegi útvonalakat, szabályokat és a szolgáltatás állapotát.

Ez a feljegyzés teszi a helyreállítási csatornát javítássá, mert a konzol csak egy kérési pontot ad. A módosítás előtt írja meg, nem utána emlékezetből. A wikiből másolt visszaállítás nem visszaállítás. Ez egy verziószámmal ellátott találgatás.

6. lépés: ellenőrizze a módosítás után

Egy meglévő SSH-munkamenet túlélhet egy újakat blokkoló szabályzatot, ezért friss, normál adminisztrációs munkamenettel teszteljen. Utána külön tesztelje a módosított VPN-viselkedést.

Tartsa nyitva a helyreállítási csatornát, amíg mindkét ellenőrzés át nem megy, majd a hozzáférési szabályzat szerint zárja be. Ha az SSH már elveszett, és nem készült konzol-bejelentkezés, ne tekintse tovább a soros hozzáférést biztonsági hálónak, és indítsa el az engedélyezett fiók-helyreállítási vagy példányjavítási folyamatot. Egy másik VM ugrógépként való felállítása sem a vendég útját, sem a hiányzó hitelesítő adatokat nem javítja.