Bagaimana Merencanakan Rollback VPN Router Sebelum Perubahan Jarak Jauh

Anda akan mengedit terowongan yang memuat sesi Anda sendiri, sehingga pekerjaan yang menyelamatkan Anda terjadi sebelum perubahan, bukan selama perebutan setelahnya. Jaring pengaman tidak ada di halaman VPN: ini adalah layar pemulihan, konsol, atau jalur kedua yang tidak berjalan melalui perangkat yang Anda edit. Saya merencanakan ketiganya pada antarmuka router yang sama yang akan saya edit, dan saya menggunakan jalur tersebut sekali sementara semuanya masih berfungsi. Ini adalah panduan yang saya ikuti secara berurutan.

Ikuti alur pemulihan sebelum Anda membutuhkannya

Buka halaman yang akan membatalkan perubahan Anda. Di pfSense yaitu Diagnostics > Backup & Restore; pada OpenWrt adalah System > Backup / Flash Firmware; pada OPNsense adalah System > Configuration > Backups, yang juga menyimpan revisi sebelumnya yang dapat Anda kembalikan tanpa file. Anda belum memulihkan apa pun. Anda memeriksa apakah halaman tersebut terbuka dari jalur yang Anda miliki selama perubahan, apakah halaman tersebut ingin di-boot ulang setelahnya, dan apakah halaman tersebut menolak arsip yang ditulis oleh rilis firmware yang berbeda. Netgate mendokumentasikan aliran ekspor dan pemulihannya sendiri di docs.netgate.com.

Pemulihan menukar seluruh konfigurasi, jadi ini bukan pembatalan untuk satu aturan. Arsip tersebut berisi pengguna, sertifikat, kunci VPN, aturan firewall, dan pengaturan antarmuka admin yang menentukan siapa yang boleh masuk. Itu sebabnya saya mengekspor segera sebelum perubahan dan memberi nama file dengan tanggal dan pengaturan tunggal yang ingin saya sentuh. Memulihkan file berumur sebulan juga memulihkan terowongan berumur sebulan dan kunci berumur sebulan.

Jika platform hanya memuat arsip dari rilis yang sama, catat sekarang: pemutakhiran firmware ditambah pengeditan VPN dalam satu jendela membuat Anda memegang file yang tidak akan diterima oleh router.

Buktikan cara melewati terowongan

Sesi SSH kedua dari laptop yang sama ke alamat publik yang sama bukanlah jalur kedua; keduanya mati bersama. Jalur independen adalah salah satunya: konsol serial atau KVM, hypervisor atau konsol cloud, VLAN manajemen yang dapat dijangkau dari host yang tidak berada di belakang terowongan, modem WAN atau LTE kedua dengan aturan administratifnya sendiri, atau seseorang di lokasi.

Uji jalur yang dipilih saat router dalam keadaan sehat. Masuk ke dalamnya, buka halaman VPN, dan berhenti sebelum menyimpan. Jika aturan penguncian hanya memungkinkannya mencapai dasbor, Anda masih punya waktu untuk memperbaikinya, dan koreksi harus berada di atas aturan penolakan dalam urutan aturan.

Kebanyakan router mengikat layanan admin ke antarmuka atau kelompok alamat, sehingga rute out-of-band harus tiba di tempat layanan tersebut mendengarkan. Memperluas pengikatan jendela memang berhasil, tetapi hal ini sendiri merupakan perubahan pada jalur yang Anda andalkan.

Ekspor file dan tulis pemicunya

Pindahkan ekspor dari router dan keluar dari mesin yang mungkin kehilangan terowongannya. Cadangan yang disimpan di sistem file router menghilang tepat pada kegagalan yang Anda rencanakan, dan cadangan yang ada di laptop yang akan kehilangan konektivitas hampir tidak lebih baik.

Perlakukan file itu sebagai kredensial. Ini menyimpan kunci pribadi, rahasia yang dibagikan sebelumnya, materi sertifikat, dan hash kata sandi, jadi enkripsi atau simpan dengan hati-hati seperti login router.

Kemudian tulis satu kalimat: jika saya tidak dapat membuka sesi manajemen baru dari PATH dalam waktu N menit setelah perubahan, saya memulihkan FILE dan reboot. Kalimat tersebut memaksa cakupannya turun ke satu variabel. Pengeditan rute, DNS, dan firewall yang dilakukan bersamaan akan cepat disimpan dan lambat untuk dibelah dua saat Anda mencoba sekali lagi.

Gunakan pengatur waktu komit jika platform memilikinya

Beberapa platform akan membatalkan perubahan untuk Anda jika Anda gagal mengonfirmasinya. Mode Aman RouterOS, dimasukkan dengan Ctrl+X di terminal, mengembalikan perubahan yang dibuat di sesi tersebut ketika sesi terhenti. Junos mengembalikan komitmen yang belum dikonfirmasi dan dikonfirmasi. Cisco IOS memasangkan isi ulang dengan pembatalan isi ulang. Firewall perusahaan biasanya melakukan perubahan yang tertunda dengan pengatur waktu pengembalian otomatis. OpenWrt dan sebagian besar firmware konsumen tidak ada yang setara, jadi pengatur waktunya harus bersifat eksternal: pemulihan terjadwal, tugas cron yang menukar kembali file dan memulai ulang layanan, atau melakukan boot ulang ke konfigurasi sebelumnya.

Jangan berasumsi bahwa fitur dengan nama serupa mencakup cakupan yang sama. Pengembalian otomatis suatu produk mungkin hanya mencakup aturan firewall; yang lain mungkin mencakup seluruh konfigurasi, termasuk aturan manajemen yang baru saja Anda ubah agar Anda tetap dapat dijangkau. Bacalah apa yang dikembalikan oleh pengatur waktu sebelum Anda mengandalkannya.

Pengatur waktu bukanlah pengganti file yang diekspor. Gagal dalam kasus yang paling penting di sini: sesi bertahan, bidang manajemen tidak, dan tidak ada yang memicu pengembalian.

Uji koneksi baru, bukan koneksi terbuka

Sesi yang sudah mapan sering kali terus menghasilkan perubahan yang menghalangi setiap jabat tangan baru, karena statusnya sudah ada dan kebijakan dievaluasi saat koneksi dibuat. Setelah perubahan, buat koneksi baru dari sisi jarak jauh: sesi SSH baru, jabat tangan VPN baru dari klien, pemuatan halaman normal ke alamat LAN router.

# run these from the remote machine, in a new shell
ssh -o ConnectTimeout=8 admin@"$ROUTER_WAN"
nc -vz "$ROUTER_WAN" 443
dig +short example.internal "@$ROUTER_LAN"

Kemudian uji bagian hilir terowongan, bukan terowongan itu sendiri: resolusi nama, koneksi TCP ke layanan internal, dan aplikasi yang sebenarnya Anda gunakan. Terowongan yang dibuat tetapi tidak membagikan DNS yang dapat digunakan terlihat sehat di status klien dan rusak di browser, dan perbedaan itu menentukan apakah Anda memulihkan file atau memperbaiki satu aturan.

Ulangi setelah pemutusan paksa dan penyambungan kembali, dan sekali lagi setelah reboot jika platform menerapkan kembali status saat boot. Beberapa konfigurasi lulus setiap pengujian langsung dan gagal pada boot pertama dengan aturan baru yang diterapkan.

Tutup pintu yang Anda buka untuk jendela

Hapus aturan admin sumber apa pun sementara, akun sekali pakai, pengikatan yang diperluas, aturan DNS permisif, dan pencatatan debug. Penghapusan itu sendiri merupakan perubahan pada jalur yang Anda andalkan, jadi jalankan kembali pengujian koneksi baru setelahnya, dari sisi jarak jauh.

Simpan file yang diekspor hingga perubahan bertahan setelah reboot dan klien sebenarnya terhubung kembali, lalu putar apa pun yang Anda bagikan saat jendela terbuka. Konfigurasi yang berfungsi hingga boot berikutnya adalah cara yang tenang untuk kehilangan router seminggu kemudian, ketika tidak ada yang mengingat aturan mana yang bersifat sementara.

Tuliskan perubahan di tempat orang berikutnya melihat: apa yang dipindahkan, file mana yang membatalkannya, jalur mana yang mencapai konsol, dan aturan mana yang bersifat sementara.

Sebelum Anda membuka halaman VPN, empat hal harus ada: alur pemulihan yang telah Anda uji, jalur kedua yang telah Anda buktikan, file ekspor yang benar-benar dapat Anda jangkau, dan pemicu tertulis. Jika ada yang hilang, perbaiki dulu. Perubahannya bisa menunggu satu jam; penguncian tidak bisa.