A router VPN-visszaállításának megtervezése távoli változtatás előtt

A saját munkamenetedet hordozó alagút szerkesztésére készülsz, így a mentés előtti munka a változtatás előtt történik, nem az azt követő kavarodás során. A biztonsági háló nem a VPN oldalon található: ez a visszaállítási képernyő, egy konzol vagy egy második útvonal, amely nem fut át a szerkesztett eszközön. Mindhármat ugyanarra az útválasztó felületre tervezem, amelyet szerkeszteni készülök, és egyszer használom az elérési utat, amíg minden működik. Ezt a végigjátszást követem, sorrendben.

Járja végig a visszaállítási folyamatot, mielőtt szüksége lenne rá

Nyissa meg azt az oldalt, amely visszavonja a módosítást. A pfSense-en ez a Diagnosztika > Biztonsági mentés és visszaállítás; az OpenWrt rendszeren a Rendszer > Biztonsági mentés / Flash firmware; az OPNsense-en ez a Rendszer > Konfiguráció > Biztonsági mentések, amely szintén megtartja a korábbi verziókat, amelyekhez fájl nélkül is visszatérhet. Még nem állít vissza semmit. Azt ellenőrzi, hogy az oldal a változtatás során használt útvonalról nyílik-e meg, akarja-e a későbbi újraindítást, és hogy elutasítja-e a másik firmware-verzió által írt archívumot. A Netgate a saját exportálási és visszaállítási folyamatát dokumentálja a címen docs.netgate.com.

A visszaállítás a teljes konfigurációt felcseréli, tehát nem egy szabály visszavonását jelenti. Az archívum tartalmazza a felhasználókat, a tanúsítványokat, a VPN-kulcsokat, a tűzfalszabályokat és az adminisztrációs felület beállításait, amelyek eldöntik, hogy ki jelentkezhet be. Ezért közvetlenül a változás előtt exportálom, és elnevezem a fájlt a dátummal és az egyetlen érinteni kívánt beállítással. Egy hónapos fájl visszaállítása egy hónapos alagutat és egy hónapos kulcsot is visszaállít.

Ha a platform csak ugyanabból a kiadásból tölti be az archívumokat, vegye figyelembe: a firmware-frissítés és a VPN-szerkesztés egy ablakban egy olyan fájlt hagy maga után, amelyet az útválasztó nem fogad el.

Bizonyítson be egy utat, amely átugorja az alagutat

A második SSH-munkamenet ugyanarról a laptopról ugyanarra a nyilvános címre nem egy második út; mindketten együtt halnak meg. A független útvonal ezek egyike: soros vagy KVM konzol, hypervisor vagy felhő konzol, felügyeleti VLAN, amely nem az alagút mögött található gazdagépről érhető el, egy második WAN vagy LTE modem saját adminisztrációs szabállyal, vagy egy személy a helyszínen.

Tesztelje a választott útvonalat, amíg az útválasztó egészséges. Jelentkezzen be rajta, nyissa meg a VPN oldalt, és álljon meg a mentés előtt. Ha egy zárolási szabály csak az irányítópultot engedi elérni, még van ideje kijavítani, és a korrekciónak a szabály sorrendjében a megtagadási szabály felett kell lennie.

A legtöbb útválasztó egy interfészhez vagy címcsaládhoz köti az adminisztrációs szolgáltatást, így a sávon kívüli útvonalnak oda kell érkeznie, ahová a szolgáltatás figyel. Az ablak összerendelésének kiszélesítése működik, de ez önmagában megváltoztatja azt az elérési utat, amelytől függ.

Exportálja a fájlt, és írja be a triggert

Vigye le az exportált fájlt az útválasztóról és a gépről, amely elveszítheti az alagútját. Az útválasztó fájlrendszerében tárolt biztonsági másolat pontosan abban a meghibásodásban tűnik el, amelyet Ön tervez, és alig jobb, ha a laptopon ül, amelyik hamarosan elveszíti a kapcsolatot.

Kezelje ezt a fájlt hitelesítő adatként. Privát kulcsokat, előre megosztott titkokat, tanúsítványanyagot és jelszókivonatokat tartalmaz, ezért titkosítsa vagy tárolja ugyanolyan gondossággal, mint az útválasztó bejelentkezésekor.

Ezután írjon egy mondatot: ha nem tudok új kezelési munkamenetet nyitni a PATH-ról a változást követő N percen belül, akkor visszaállítom a FILE-t és újraindítom. A mondat egy változóra kényszeríti a hatókört. Az együtt végrehajtott útvonal-, DNS- és tűzfal-szerkesztések gyorsan menthetők, és lassan kettéoszthatók, ha újabb próbálkozást kap.

Használjon véglegesítési időzítőt, ha a platform rendelkezik ilyennel

Számos platform visszavonja a módosítást, ha nem erősíti meg. A RouterOS Safe Mode, amelyet a Ctrl+X billentyűkombinációval léphet be a terminálon, visszaállítja az adott munkamenetben végzett módosításokat, ha a munkamenet leáll. Junos visszavon egy meg nem erősített, megerősített elkövetést. A Cisco IOS párok újratöltése az újratöltés törlésével történik. A vállalati tűzfalak általában automatikus visszaállítási időzítővel hajtják végre a függőben lévő változtatásokat. Az OpenWrt-nek és a legtöbb fogyasztói firmware-nek nincs megfelelője, ezért az időzítőnek külsőnek kell lennie: ütemezett visszaállítás, cron feladat, amely visszacseréli a fájlt és újraindítja a szolgáltatást, vagy újraindítás az előző konfigurációba.

Ne feltételezze, hogy egy hasonló nevű szolgáltatás ugyanazt a hatókört fedi le. Egy termék automatikus visszaállítása csak a tűzfalszabályokra vonatkozhat; egy másik a teljes konfigurációt lefedheti, beleértve azt a kezelési szabályt is, amelyet éppen úgy módosított, hogy elérhesse magát. Olvassa el, mit állít vissza az időzítő, mielőtt ráhagyatkozna.

Az időzítő nem helyettesíti az exportált fájlt. Meghiúsul abban az esetben, ami itt a legfontosabb: a munkamenet fennmarad, a felügyeleti sík nem, és soha semmi sem váltja ki a visszaállást.

Teszteljen egy vadonatúj kapcsolatot, ne a nyitottat

A kialakult munkamenet gyakran olyan változtatásokon keresztül dolgozik, amelyek blokkolnak minden új kézfogást, mert az állapota már létezik, és a politika kiértékelésre kerül a kapcsolat létrehozásakor. A változás után hozzon létre új kapcsolatokat a távoli oldalról: friss SSH-munkamenet, friss VPN-kézfogás a klienstől, normál oldalbetöltés a router LAN-címére.

# run these from the remote machine, in a new shell
ssh -o ConnectTimeout=8 admin@"$ROUTER_WAN"
nc -vz "$ROUTER_WAN" 443
dig +short example.internal "@$ROUTER_LAN"

Ezután tesztelje az alagút utáni szakaszát, ne magát az alagutat: névfeloldást, TCP-kapcsolatot egy belső szolgáltatáshoz és a ténylegesen használt alkalmazást. Az alagút, amely létrehozza, de nem ad ki használható DNS-t, az ügyfélállapotban egészségesnek tűnik, a böngészőben meghibásodott, és ez a különbség dönti el, hogy visszaállítja-e a fájlt, vagy kijavít egy szabályt.

Ismételje meg a műveletet a kényszerített leválasztás és újracsatlakozás után, és még egyszer újraindítás után, ha a platform újraindításkor állapotba lép. Egyes konfigurációk minden élő teszten átmennek, és az új szabályok érvényben lévő első rendszerindításkor sikertelenek.

Csukja be az ablakhoz nyitott ajtókat

Távolítsa el az ideiglenes tetszőleges forrású rendszergazdai szabályt, az eldobható fiókot, a kibővített összerendelést, az engedélyező DNS-szabályt és a hibakeresési naplózást. Ez az eltávolítás önmagában megváltoztatja azt az utat, amelytől függ, ezért futtassa újra a friss kapcsolat tesztjét a távoli oldalról.

Tartsa meg az exportált fájlt mindaddig, amíg a módosítás túléli az újraindítást és a valódi ügyfél-újracsatlakozást, majd forgassa el bármit, amit megosztott, amíg az ablak nyitva volt. A következő rendszerindításig működő konfiguráció csendes módja annak, hogy egy héttel később elveszítsd az útválasztót, amikor senki sem emlékszik, melyik szabály volt ideiglenes.

Írja le a változást, hogy hova néz a következő személy: mi költözött, melyik fájl vonja vissza, melyik elérési út a konzolhoz, és melyik szabály volt ideiglenes.

A VPN-oldal megnyitása előtt négy dolognak kell léteznie: egy tesztelt visszaállítási folyamatnak, egy második, bizonyított útvonalnak, egy exportált fájlnak, amelyet ténylegesen elérhet, és egy írott triggernek. Ha valamelyik hiányzik, először javítsa ki. A változás egy órát is várhat; kizárás nem lehetséges.