GCE-ում VPN-ը փոխելուց առաջ պատրաստեք սերիական վերականգնման ուղի

Նույն ինտերֆեյսի վրա երկրորդ SSH պատուհանը վերականգնման ուղի չէ։ Այն կիսում է այն երթուղին, firewall-ի կանոնը և դեմոնը, որը դուք պատրաստվում եք փոխել, ուստի այն ձախողվում է հենց այն պահին, երբ ձեզ պետք է։ Նախքան Compute Engine VM-ում VPN երթուղիները խմբագրելը, ապացուցեք երեք առանձին բան՝ որ կարող եք օգտվել սերիական կոնսոլից, որ կարող եք կարդալ դրա ելքը, և որ հյուրը իրոք ձեզ մուտք կտա։ Ստորև բերված ստուգումները գնում են այդ հերթականությամբ՝ ամենաէժանը առաջ, որպեսզի բացակայող թույլտվությունը հայտնաբերվի նախքան կարևոր դառնալը։

Քայլ 1. հաստատեք ամպային կողմի թույլտվությունը

Նշեք ճշգրիտ VM-ը, նախագիծը և գոտին, ապա ստուգեք կազմակերպության կողմից հաստատված սերիական հասանելիության քաղաքականությունը։ Ադմինիստրատորին անհրաժեշտ է համապատասխան թույլտվությունը, և ինտերակտիվ սերիական հասանելիությունը պետք է միացված լինի այդ օրինակի համար գործող նախագծային և կազմակերպական վերահսկողության ներքո։

Մի թուլացրեք կազմակերպության քաղաքականությունը և մի միացրեք կոնսոլի հասանելիությունը ամբողջ նախագծի համար մեկ մեքենա պատրաստելու համար։ Խնդրեք սեփականատիրոջը կազմակերպել թույլատրելի մեխանիզմը փորձից առաջ, ոչ թե ընդհատման ընթացքում։

Քայլ 2. ապացուցեք, որ կարող եք կարդալ ելքը

Սերիական ելքը կարդալը ամենաէժան ստուգումն է, և այն վարժեցնում է տրանսպորտը՝ չդիպչելով հյուրի մուտքին:

gcloud compute instances get-serial-port-output VM_NAME \
    --project PROJECT_ID --zone ZONE --port 1

Փոխարինեք նույնացուցիչները և օգտագործեք թույլատրված պորտը։ Բեռնման հաղորդագրությունները և կոնսոլի խոսակցությունը ցույց են տալիս, որ ալիքը աշխատում է։ Դրանք չեն ապացուցում, որ կարող եք shell ստանալ։ Այդ պատճառով այս քայլը առանձին է հաջորդից։

Քայլ 3. ապացուցեք, որ կարող եք ինտերակտիվ մուտք ստանալ

Միացման հրամանը բացում է իրական սեսիա, ոչ թե նախադիտում:

gcloud compute connect-to-serial-port VM_NAME \
    --project PROJECT_ID --zone ZONE --port 1

Վերաբերվեք դրան որպես կենդանի կոնսոլ։ Հաստատեք վերջնական կետը նախքան հավատարմագրեր մուտքագրելը, քանի որ յուրաքանչյուր ստեղնահարում ընկնում է օրինակի վրա։

Այստեղ է, որ ամբողջական թվացող ծրագիրը քանդվում է։ Ամպային թույլտվությունը մի սահման է, իսկ Linux-ի մուտքի հուշումը՝ մեկ այլ, և առաջինն անցնելը ոչինչ չի ասում երկրորդի մասին։

Քայլ 4. պատրաստեք հավատարմագրեր, որոնք հյուրը կընդունի

Google-ի տրամադրած Linux պատկերները լռելյայն չեն միացնում տեղական գաղտնաբառով մուտքը։ Հետևաբար սերիական սեսիան կարող է հասնել մուտքի հուշման և կանգ առնել այնտեղ՝ սպասելով հավատարմագրի, որը ոչ ոք չի սահմանել։

Հաստատված վերականգնման հաշիվը կամ ձեր տեղակայման կողմից օգտագործվող փաստաթղթավորված հյուրի մուտքի ցանկացած եղանակ պետք է գոյություն ունենա և փորձարկված լինի։ Ցանցով աշխատող SSH բանալին ինքնաբերաբար չի բավարարում կոնսոլի գաղտնաբառի հուշումը, ուստի ստուգեք փաստացի OS Login-ը և բանալիների դասավորությունը՝ փոխարենը ենթադրելու, որ այն ծածկում է այս դեպքը։

Պահեք վերականգնման հավատարմագրերը գաղտնի։ Հանրային startup-script օրինակում փակցված root գաղտնաբառը երկրորդ միջադեպն է, որը սպասում է տեղի ունենալուն։

Քայլ 5. գրանցեք սեփականատիրոջը և հետադարձը

Նախքան որևէ բան փոխելը, պահպանեք աշխատող ցանցային կոնֆիգուրացիան և գրեք, թե ով է կառավարում այն, որ VPN ծառայությունն է ներգրավված և ինչպես է կատարվում հետադարձը։ Աշխատող սեսիայից գրանցեք ընթացիկ երթուղիները, կանոնները և ծառայության վիճակը։

Հենց այդ գրառումն է վերականգնման ալիքը վերածում վերանորոգման, քանի որ կոնսոլը ձեզ տալիս է միայն հուշում։ Գրեք այն փոփոխությունից առաջ, ոչ թե հետո՝ հիշողությունից։ Վիքիից արտագրած հետադարձը հետադարձ չէ։ Դա տարբերակի համարով ենթադրություն է։

Քայլ 6. ստուգեք փոփոխությունից հետո

Գոյություն ունեցող SSH սեսիան կարող է վերապրել նորերը արգելափակող քաղաքականությունը, ուստի փորձարկեք թարմ սովորական ադմինիստրատիվ սեսիայով։ Այնուհետև առանձին փորձարկեք ձեր փոխած VPN վարքը։

Բաց պահեք վերականգնման ալիքը, քանի դեռ երկու ստուգումներն էլ չեն անցել, ապա փակեք այն հասանելիության քաղաքականության համաձայն։ Եթե SSH-ն արդեն կորել է և կոնսոլային մուտք չի պատրաստվել, դադարեցրեք սերիական հասանելիությունը անվտանգության ցանց համարել և սկսեք թույլատրված հաշվի վերականգնման կամ օրինակի վերանորոգման ընթացակարգը։ Մեկ այլ VM որպես jump host կանգնեցնելը չի վերանորոգում ոչ հյուրի ուղին, ոչ էլ բացակայող հավատարմագրերը։