Ինչպես ապահով հետ շրջել VPN սերվերի կազմաձևը

Սերվերը հետ շրջելը որոշում է այն մասին, թե որ շերտը ձախողվեց, ոչ թե ֆայլեր պատճենելու վարժություն։ Կազմաձևը, հավատարմագրերը և փաթեթների տարբերակները շարժվում են տարբեր ժամացույցներով, և մեկը վերականգնելիս, երբ մյուսները մնում են արդիական, ստեղծվում է հոսթ, որը առողջ տեսք ունի և անհետևողական է վարվում։ Ներքևի հաջորդականությունը ենթադրում է, որ փոփոխությունն արդեն սխալ է գնացել, և խնդրում է վերականգնել ամենափոքր համահունչ վիճակը։ Անցեք այն հերթականությամբ և գոտուց դուրս հասանելիության ստուգումը համարեք այն քայլը, որը ոչ ոք չպետք է բաց թողնի։

Ստեղծեք ստուգման կետ, որը իսկապես կարող եք վերականգնել

Գրանցեք այն կազմաձևը, որը ծառայությունը կարդում է մեկնարկին, նրա հետ միասին այն տարբերակը, որը վերջին անգամ վերլուծել է այն։ Ավելի հին թողարկման տակ մաքուր բեռնված ֆայլը կարող է մերժվել կամ լուռ անտեսվել թարմացումից հետո, ուստի տարբերակը պատկանում է նույն գրառմանը։ Ներառեք այն նյութը, որին հղում է անում կազմաձևը՝ մասնավոր բանալիներ, վկայագրերի ուղիներ, լսողների սահմանումներ և DNS-ի ու հրդեհապատի այն գրառումները, որոնք ծառայությունը դարձնում են հասանելի։ Եթե վերականգնումը պահանջեր ֆայլ, որը դուք չեք պահել, ապա ստուգման կետը թերի է։

Անվանեք յուրաքանչյուր կարգավորման սեփականատիրոջը, քանի դեռ համակարգը առողջ է։ Մատակարարի պանելի տեղադրած երթուղին, հոսթի հրդեհապատի ավելացրածը և հաճախորդներին ուղարկվածը երեք տարբեր օբյեկտներ են, և սխալը վերականգնելիս մյուս երկուսը մնում են տեղում։ Բավական է կարգավորում, սեփականատեր և ֆայլի ուղի պարունակող կարճ աղյուսակ։

Հեղաշրջումները առանձին պահեք կազմաձևից

Հին կազմաձևը կարող է լուռ նորից միացնել սարք, որը դուք դիտավորյալ հեռացրել եք, ինչը վերականգնումը վերածում է անվտանգության հետընթացի։ Պահպանեք ընթացիկ հեղաշրջումների ցանկը և անջատված հաշիվները, մինչ վերականգնում եք ցանցային քաղաքականությունը, ապա նորից կիրառեք դրանք, նախքան ծառայությունը կընդունի հաճախորդների։

Ինքնության վիճակը դիտարկեք որպես առանձին հետ շրջում՝ իր իսկ ապացույցներով։ Վկայագրերի հեղաշրջման ֆայլերը, հաշվի անջատումը և MFA գրանցումը հազվադեպ են գտնվում դեմոնի կազմաձևի նույն տեղում, և կազմաձևի վերականգնումը չի դիպչի նրանց։ Նախ ստուգեք ընթացիկ վիճակը, որպեսզի իմանաք, թե ինչ պետք է վերապրի։ Վերականգնումից հետո հաստատեք, որ հեռացված ինքնությունը դեռ չի կարողանում միանալ։

Հասեք հոսթին, երբ թունելը ձախողվում է

Բացեք ուղի դեպի մեքենան, որը կախված չէ փոփոխվող բաղադրիչից։ Հիպերվիզորի կոնսոլը, առանձին ինտերֆեյսի կառավարման հասցեն կամ սերիական կոնսոլը բոլորն էլ պիտանի են. թունելով տարվող SSH նստաշրջանը՝ ոչ։ Եթե միակ մուտքը այն VPN-ն է, որը պատրաստվում եք վերագործարկել, ապա վատ երթուղին կամ հրդեհապատի կանոնը ձեզանից խլում է այն ուղղելու հնարավորությունը։ Փորձարկեք այլընտրանքային ուղին փոփոխությունից առաջ, ոչ հետո։ Մուտք գործեք դրանով մեկ անգամ, հաստատեք, որ sudo-ն աշխատում է, և գրանցեք ձեր օգտագործած ճշգրիտ հասցեն։

Փորձարկումը պարզ է՝ միացած լինելով այլընտրանքային ուղով՝ իջեցրեք թունելը և տեսեք՝ նստաշրջանը կմնա արդյոք։ Եթե այն ընկնում է, ուրեմն թերությունը գտել եք նախքան այն ձեզ կսղմեր։

Կիրառեք մեկ վերանայում և իմացեք, թե երբ է այն ուժի մեջ մտնում

Օգտագործեք ծառայության reload կամ restart փաստաթղթերը և պարզեք, թե որ հրահանգներն են կարդացվում որ պահին։ Որոշ արժեքներ գործում են reload-ի ժամանակ, մյուսները՝ միայն երբ սկսվում է նոր նստաշրջան կամ գործընթաց, ուստի ֆայլը խմբագրելը ոչինչ չի ապացուցում աշխատող վիճակի մասին։ Վերականգնեք մեկ վերանայում՝ նոր ֆայլը հին գործարկման վիճակի հետ խառնելու փոխարեն։ Կասկածի դեպքում ծառայության ամբողջական վերագործարկումն ավելի հեշտ է հիմնավորել, քան մասնակի reload-ը։

Նախքան ընտրելը ստուգեք միավորի սահմանումը՝ systemctl show -p ExecReload openvpn@server ասում է ձեզ՝ արդյոք reload-ի կեռիկ ընդհանրապես գոյություն ունի։ Այնուհետև կիրառեք վերանայումը և կարդացեք մատյանում առաջին նոր սխալները, նախքան որևէ այլ բան փոխելը։

Ստուգեք, գրանցեք և հետո հետաքննեք

Միացրեք մեկ լիազորված հաճախորդ և փորձարկեք, թե ինչի համար է ծառայությունը՝ անունների լուծում, վերամիացում և այն հավելվածը, որը ձախողվել էր։ Հաստատեք, որ հեղաշրջված ինքնությունը դեռ մերժվում է։ Գրանցեք վերականգնված վերանայումը, ժամը և պատճառը, որովհետև հաջորդ օպերատորին երեքն էլ պետք կգան։ Ոչ ոքի չփաստաթղթավորած հետ շրջելը դառնում է առեղծված հաջորդ անգամ, երբ ծառայությունը վատ է վարվում։

systemctl status openvpn@server --no-pager
journalctl -u openvpn@server -n 50 --no-pager

Երբ ծառայությունը կայունանա, վերարտադրեք ձախողված փոփոխությունը հոսթի կամ պատկերի վրա, որը կարող եք դեն նետել։ Դա առանձնացնում է վատ կազմաձևը վատ փաթեթից կամ ժամկետանց վկայագրից։ Պահեք վերականգնված կազմաձևը տարբերակների հսկողության տակ, որպեսզի հաջորդ ստուգման կետը սկսվի հայտնի commit-ից։ Վարժության իմաստը փաստաթղթավորված վերջնակետն է, ոչ թե մշտական իջեցումը։