Արգելափակվել եք ձեր VPN սերվերից՝ պահպանեք մուտքի երկրորդ ուղին
Կոտրված թունելը չպետք է խլի նաեւ սերվերը վերանորոգելու ձեր կարողությունը. Պլանավորեք, փորձարկեք եւ վերանայեք անկախ վարչական ուղի, նախքան այն ձեզ պետք կգա:։
Դուք բացում եք վահանակը, փոխում մեկ պատի հրդեհի կանոն, եւ թունելը, որով միացած էիք, անհետանում է։ Փոփոխությունը ճիշտ էր, վերաբեռնումը՝ ոչ, եւ այժմ մեքենա վերադառնալու միակ ուղին այն է, որը հենց նոր կոտրեցիք։ Մուտքի երկրորդ ուղին նախագծային որոշում է, եւ այն պետք է լինի ընդհատումից առաջ, ոչ թե ընթացքում։
Անցեք այն, ինչ դեռ ունեք
Սկսեք ձեր առջեւի վահանակի էկրանից եւ թվարկեք այն ուղիները, որոնք կախված չեն թունելից։ Մատակարարի վեբ վահանակը սերիական կամ VNC նստաշրջանով մեկն է։ Առանձին ցանցում գտնվող կառավարման ինտերֆեյսը մյուսն է։ Ֆիզիկական հասանելիությունը երրորդն է, եւ հենց դրա բացակայությունն են մարդիկ հայտնաբերում ամենավատ պահին։
| Path | Depends on | Usually fails when |
|---|---|---|
| Provider console | Account access and the provider's own API | Credentials live in a wiki only reachable over the tunnel |
| Management subnet | A second interface and its own routing | The bad change was a global route or firewall policy |
| Second tunnel | A different listener, port and credentials | Both listeners were changed in the same edit |
| Physical or local console | Being in the building | Nobody has been in the building for a year |
Երրորդ սյունակը կարդացեք որպես խափանումների ցանկ, ոչ թե վերացականություն։ Այդ ուղիներից երկուսը սովորաբար ձախողվում են նույն պատճառով։ Աղյուսակը հենց այն միջոցն է, որով նկատում եք դա, նախքան ընդհատումը կբացատրի այն ձեզ։
Անկախությունը կախվածությունների հարց է
Վերականգնման հաշիվը անկախ չէ, եթե նրա գաղտնաբառը պահվում է ծառայության մեջ, որին հասնում եք թունելով։ Նույն հոսթի, նույն պորտի եւ նույն պատի հրդեհի քաղաքականության վրա երկրորդ VPN-ը նույնպես անկախ չէ, քանի որ առաջինը կոտրած փոփոխությունը կոտրում է երկուսն էլ։
Իջեք շղթայով եւ անվանեք, թե ինչ է պետք յուրաքանչյուր քայլին։ Ցանցային հասանելիությունը, անունների լուծումը, նույնականացման աղբյուրը եւ ինքը կառավարման ծառայությունը չորս առանձին կախվածություններ են, եւ դրանցից որեւէ մեկը կիսող ուղին ժառանգում է այդ խափանումը։
Երբեք չփորձարկված ուղին արժանի է իր սեփական կասկածին։ Ամիսներ շարունակ չբացված վահանակը կարող է պահանջել գաղտնաբառի վերակայում էլեկտրոնային փոստով, եւ այդ փոստարկղը կարող է լինել այն մեքենայի վրա, որին չեք հասնում։ Փորձարկեք ուղին, քանի դեռ ամեն ինչ աշխատում է, եւ դա կգտնեք հանգիստ կեսօրին։
Օգտագործեք երկրորդ ուղին մեկ վերահսկվող փոփոխության համար
Վահանակից վերցրեք պահապատկեր կամ պատճենեք այն կարգավորումը, որը պատրաստվում եք խմբագրել։ Փոխեք մեկ բան։ Վերաբեռնեք ծառայությունը եւ կարդացեք արդյունքը, նախքան որեւէ այլ բանի դիպչելը, որովհետեւ միանգամից երկու փոփոխություն վերականգնումը դարձնում է փորձ։
Պահեք վերականգնման նստաշրջանը բաց, մինչ դա անում եք։ Երկրորդ ուղու ամբողջ արժեքը նրանում է, որ այն վերապրում է այն, ինչ դուք փոխում եք, ուստի նախ այն փակելը հեռացնում է այն միակ հատկությունը, որն այն օգտակար էր դարձրել։
Ստուգեք վերականգնման ուղուց, ոչ թե հիշողությունից
Կարեւոր ստուգումն այն է, թե արդյոք սովորական ուղին վերադառնում է, եւ վերականգնման նստաշրջանը հենց այն վայրն է, որտեղ դուք դա հաստատում եք հերթականությամբ:
systemctl status openvpn-server@server --no-pager ss -lntup | grep -E ':(1194|443)\b' nft list ruleset | sed -n '1,40p' journalctl -u openvpn-server@server --since '-10 min' --no-pager | tail -n 30
Նախ կարդացեք ծառայության վիճակը, ապա լսիչը, ապա կանոնները, ապա մատյանը։ Առանց լսիչի աշխատող ծառայությունը մատնանշում է ծառայության կարգավորումը, մինչդեռ հասանելի կանոններ չունեցող լսիչը մատնանշում է զտումը։ Հերթականությունը կարեւոր է, որովհետեւ յուրաքանչյուր քայլ նեղացնում է հաջորդը, եւ մատյանին անցնելը սովորաբար նշանակում է կարդալ սխալներ, որոնք նկարագրում են ախտանիշը, ոչ թե պատճառը։
systemctl-ի փաստաթղթերը ընդգրկում է այստեղ օգտագործվող վիճակի եւ վերագործարկման վարքը, ներառյալ այն, թե ինչպես ձախողված վերաբեռնումը թողնում է նախորդ գործընթացը աշխատող։ Համահունչ վերանայումը վերականգնելը ավելի լավ է, քան սերվերը չկարողացող հաճախորդից կրկնվող վերամիացումը։ Եթե փոփոխությունից առաջ սահմանված հետշրջման պայմանը կատարվել է, վերականգնեք եւ կանգ առեք։
Պահեք գույքագրումը արդիական
Վերանայեք մուտքի ցանկը, երբ մարդիկ կամ ենթակառուցվածքը փոխվում են։ Փորձարկեք վերականգնման ուղին, քանի դեռ ամեն ինչ աշխատում է։ Դուրս բերեք այն հաշիվները, որոնք ոչ ոք չի օգտագործել վերջին վերակազմակերպումից ի վեր։ Երկու հնացած հաշիվ եւ մեկ ժամկետանց վկայական երեքշաբթի օրը փոքր մաքրում են, իսկ կիրակի օրը՝ ընդհատում։
Գրանցեք, թե ով կարող է օգտագործել յուրաքանչյուր ուղին, ինչ է այն թույլատրում եւ ինչպես են պտտվում հավատարմագրերը։ Առանց տիրոջ վերականգնման ուղին դառնում է մոռացված մուտք, ինչը տարբեր տեսակի խափանում է, քան դուրս արգելափակված լինելը։