Ինչպե՞ս պլանավորել VPN-ի երթուղիչի վերադարձը մինչև հեռավոր փոփոխությունը

Դուք պատրաստվում եք խմբագրել թունելը, որն իրականացնում է ձեր սեփական նիստը, այնպես որ աշխատանքը, որը ձեզ փրկում է, տեղի է ունենում նախքան փոփոխությունը, այլ ոչ թե դրանից հետո բախվելու ընթացքում։ Անվտանգության ցանցը VPN էջում չէ՝ դա վերականգնման էկրանն է, վահանակը կամ երկրորդ ուղին, որը չի անցնում ձեր խմբագրած սարքի միջով։ Ես բոլոր երեքն էլ պլանավորում եմ նույն երթուղիչի ինտերֆեյսի վրա, որը պատրաստվում եմ խմբագրել, և ես օգտագործում եմ ուղին մեկ անգամ, մինչ ամեն ինչ դեռ աշխատում է։ Սա այն ուղեցույցն է, որը ես հետևում եմ, հերթականությամբ։

Քայլեք վերականգնման հոսքով, նախքան դրա անհրաժեշտությունը

Բացեք էջը, որը կվերացնի ձեր փոփոխությունը։ PfSense-ում, որն է՝ Ախտորոշում > Կրկնօրինակում և վերականգնում; OpenWrt-ում այն է System > Backup / Flash որոնվածը; OPNsense-ում դա System > Configuration > Backups է, որը նաև պահպանում է նախորդ վերանայումները, որոնց կարող եք վերադարձնել առանց ֆայլի։ Դուք դեռ ոչինչ չեք վերականգնում։ Դուք ստուգում եք, թե արդյոք այդ էջը բացվում է այն ճանապարհից, որը դուք կունենաք փոփոխության ժամանակ, արդյոք այն ցանկանում է վերաբեռնել այն, և արդյոք այն մերժում է արխիվը, որը գրված է այլ որոնվածի թողարկման միջոցով։ Netgate-ը փաստաթղթավորում է իր սեփական արտահանումը և վերականգնում հոսքը docs.netgate.com-ում։

Վերականգնումը փոխում է ամբողջ կազմաձևը, ուստի այն չի հանդիսանում մեկ կանոնի հետարկում։ Արխիվը պարունակում է օգտվողներ, վկայագրեր, VPN ստեղներ, firewall-ի կանոններ և ադմինիստրատորի միջերեսի կարգավորումները, որոնք որոշում են, թե ով կարող է մուտք գործել։ Այդ իսկ պատճառով ես արտահանում եմ փոփոխությունից անմիջապես առաջ և ֆայլը անվանում եմ ամսաթվով և այն մեկ պարամետրով, որը ես մտադիր եմ դիպչել։ Ամսական ֆայլի վերականգնումը վերականգնում է նաև մեկ ամսվա թունելը և մեկ ամսվա բանալին։

Եթե պլատֆորմը բեռնում է միայն արխիվները նույն թողարկումից, նկատի ունեցեք դա հիմա՝ որոնվածի թարմացումը և VPN-ի խմբագրումը մեկ պատուհանում թողնում են ձեզ մի ֆայլ, որը երթուղիչը չի ընդունի։

Ապացուցեք մի ճանապարհ, որը շրջանցում է թունելը

Երկրորդ SSH նիստը նույն նոութբուքից դեպի նույն հանրային հասցեը երկրորդ ճանապարհ չէ՝ երկուսն էլ միասին են մահանում։ Անկախ ուղին դրանցից մեկն է՝ սերիական կամ KVM վահանակ, հիպերվիզոր կամ ամպային վահանակ, կառավարման VLAN, որը հասանելի է հոսթից, որը գտնվում է թունելի հետևում, երկրորդ WAN կամ LTE մոդեմ՝ իր սեփական ադմինիստրատիվ կանոններով, կամ տեղում գտնվող անձ։

Փորձեք ընտրված ուղին, քանի դեռ երթուղիչը առողջ է։ Մուտք գործեք դրա վրա, բացեք VPN էջը և դադարեցրեք նախքան պահպանումը։ Եթե արգելափակման կանոնը թույլ է տալիս, որ այն հասնի միայն վահանակ, դուք դեռ ժամանակ ունեք դա շտկելու համար, և ուղղումը պետք է նստի կանոնների հերթականության մերժման կանոնից վեր։

Երթուղիչներից շատերը կապում են ադմինիստրատորի ծառայությունը ինտերֆեյսի կամ հասցեների ընտանիքի հետ, ուստի երթուղիներից դուրս երթուղին պետք է հասնի այնտեղ, որտեղ այդ ծառայությունը լսում է։ Պատուհանի կապի ընդլայնումն աշխատում է, բայց դա ինքնին փոփոխություն է այն ճանապարհի, որից դուք կախված եք։

Արտահանեք ֆայլը և գրեք գործարկիչը

Տեղափոխեք արտահանումը երթուղիչից և մեքենայից, որը կարող է կորցնել իր թունելը։ Երթուղիչի ֆայլային համակարգում պահվող կրկնօրինակը անհետանում է հենց այն ձախողման դեպքում, որը դուք նախատեսում եք, իսկ նոութբուքի վրա նստածը, որը պատրաստվում է կորցնել կապը, հազիվ թե ավելի լավ է։

Վերաբերվեք այդ ֆայլին որպես հավատարմագրի։ Այն պահում է անձնական բանալիներ, նախապես համօգտագործված գաղտնիքներ, վկայականի նյութեր և գաղտնաբառի հեշեր, այնպես որ գաղտնագրեք այն կամ պահեք այն նույն խնամքով, ինչպես երթուղիչի մուտքը։

Այնուհետև գրեք մեկ նախադասություն՝ եթե ես չկարողանամ բացել նոր կառավարման նիստ [[PATH]]-ից՝ փոփոխությունից հետո N րոպեի ընթացքում, ես վերականգնում եմ [[FILE]]-ը և վերագործարկում։ Նախադասությունը ստիպում է շրջանակը իջեցնել մեկ փոփոխականի։ Միասին կատարված երթուղու, DNS-ի և firewall-ի խմբագրումները արագ են պահվում և դանդաղ են բաժանվում, երբ ևս մեկ փորձ եք ստանում։

Օգտագործեք կատարման ժամանակաչափ, որտեղ հարթակն ունի

Մի քանի հարթակներ կչեղարկեն փոփոխությունը ձեր փոխարեն, եթե չկարողանաք հաստատել այն։ RouterOS Safe Mode-ը, որը մուտքագրվել է տերմինալում Ctrl+X-ով, հետ է վերադարձնում այդ նիստում կատարված փոփոխությունները, երբ նիստը դադարում է։ Junos-ը հետ է վերադարձնում հաստատված չհաստատված պարտավորությունը։ Cisco IOS զույգերը վերաբեռնվում են՝ վերաբեռնումը չեղարկելու դեպքում։ Ձեռնարկությունների հրապատերը սովորաբար կատարում են սպասվող փոփոխությունները ավտոմատ հետադարձման ժամանակաչափով։ OpenWrt-ը և սպառողական որոնվածի մեծ մասը չունեն համարժեք ոչինչ, ուստի ժամանակաչափը պետք է լինի արտաքին՝ պլանավորված վերականգնում, cron աշխատանք, որը փոխում է ֆայլը և վերագործարկում ծառայությունը, կամ վերագործարկում նախորդ կազմաձևում։

Մի ենթադրեք, որ նմանատիպ անվանումով հատկանիշը ընդգրկում է նույն շրջանակը։ Մեկ արտադրանքի ինքնավերադարձումը կարող է ներառել միայն firewall-ի կանոնները՝ մյուսը կարող է ընդգրկել ամբողջ կազմաձևը, ներառյալ կառավարման կանոնը, որը դուք պարզապես փոխել եք ձեզ հասանելի լինելու համար։ Կարդացեք, թե ինչ է վերադարձնում ժմչփը, նախքան դրա վրա հույս դնելը։

Ժամաչափը չի փոխարինում արտահանված ֆայլին։ Այն ձախողվում է այն դեպքում, որն այստեղ ամենակարևորն է՝ նիստը գոյատևում է, կառավարման հարթությունը՝ ոչ, և ոչինչ երբեք չի առաջացնում հետադարձ։

Փորձարկեք բոլորովին նոր կապը, ոչ թե բացը

Հաստատված նիստը հաճախ շարունակում է աշխատել փոփոխությունների միջոցով, որոնք արգելափակում են յուրաքանչյուր նոր ձեռքսեղմում, քանի որ դրա վիճակն արդեն գոյություն ունի, և քաղաքականությունը գնահատվում է կապի ստեղծման ժամանակ։ Փոփոխությունից հետո ստեղծեք նոր կապեր հեռավոր կողմից՝ թարմ SSH նիստ, թարմ VPN ձեռքսեղմում հաճախորդի կողմից, նորմալ էջի բեռնում դեպի երթուղիչի LAN հասցեն։

# run these from the remote machine, in a new shell
ssh -o ConnectTimeout=8 admin@"$ROUTER_WAN"
nc -vz "$ROUTER_WAN" 443
dig +short example.internal "@$ROUTER_LAN"

Այնուհետև փորձարկեք թունելի հոսքից ներքև, այլ ոչ թե թունելի՝ անվան լուծում, TCP միացում ներքին ծառայությանը և այն հավելվածը, որը դուք իրականում օգտագործում եք։ Թունելը, որը ստեղծում է, բայց չի տրամադրում օգտագործելի DNS, առողջ տեսք ունի հաճախորդի կարգավիճակում և կոտրված է բրաուզերում, և այդ տարբերությունը որոշում է, արդյոք դուք վերականգնում եք ֆայլը, թե ուղղում մեկ կանոն։

Կրկնեք հարկադիր անջատումից և նորից միացնելուց հետո, և ևս մեկ անգամ վերագործարկումից հետո, եթե հարթակը նորից կիրառի վիճակը բեռնման պահին։ Որոշ կոնֆիգուրացիաներ անցնում են յուրաքանչյուր կենդանի թեստ և ձախողվում են առաջին բեռնախցիկում՝ նոր կանոններով։

Փակեք այն դռները, որոնք բացել եք պատուհանի համար

Հեռացրեք ցանկացած աղբյուրի ադմինիստրատորի ժամանակավոր կանոնը, անհայտ հաշիվը, ընդլայնված կապը, թույլատրելի DNS կանոնը և վրիպազերծման գրանցումը։ Այդ հեռացումն ինքնին փոփոխություն է այն ուղու վրա, որից դուք կախված եք, ուստի նորից կատարեք թարմ կապի թեստը դրանից հետո՝ հեռավոր կողմից։

Պահպանեք արտահանված ֆայլը մինչև փոփոխությունը վերաբեռնվի և իրական հաճախորդը նորից միանա, այնուհետև պտտեք այն ամենը, ինչ կիսվել եք, երբ պատուհանը բաց էր։ Կազմաձևը, որն աշխատում է մինչև հաջորդ բեռնումը, երթուղիչ կորցնելու հանգիստ միջոց է մեկ շաբաթ անց, երբ ոչ ոք չի հիշում, թե որ կանոնն է ժամանակավոր։

Գրեք փոփոխությունը, որտեղ նայում է հաջորդ անձը՝ ինչ է տեղափոխվել, որ ֆայլն է այն չեղարկում, որ ճանապարհն է հասնում վահանակ և որ կանոնն է ժամանակավոր։

Նախքան VPN էջը բացելը, չորս բան պետք է գոյություն ունենա՝ ձեր փորձարկված վերականգնման հոսքը, ձեր ապացուցված երկրորդ ուղին, արտահանված ֆայլը, որին իրականում կարող եք հասնել, և գրավոր գործարկիչ։ Եթե որևէ մեկը բացակայում է, նախ շտկեք։ Փոփոխությունը կարող է սպասել մեկ ժամ; կողպեքը չի կարող։