Undirbúðu seríulega endurheimtuleið áður en VPN-inu á GCE er breytt

Önnur SSH-gluggi á sama tengi er ekki endurheimtuleið. Hann deilir leiðinni, eldveggjarreglunni og daemonnum sem þú ert að fara að breyta, svo hann bregst nákvæmlega á þeirri stundu sem þú þarft á honum að halda. Áður en þú breytir VPN-leiðum á Compute Engine VM skaltu sanna þrjá aðskilda hluti: að þú megir nota seríukonsólina, að þú getir lesið úttak hennar og að gesturinn muni í raun veita þér innskráningu. Athuganirnar hér að neðan fara í þeirri röð, ódýrasta fyrst, svo að heimild sem vantar uppgötvist áður en hún skiptir máli.

Skref 1: staðfestu heimildina á skýjahliðinni

Nefndu nákvæma VM, verkefni og svæði og athugaðu síðan samþykkta stefnu stofnunarinnar um seríuaðgang. Stjórnandinn þarf viðeigandi heimild og gagnvirkur seríuaðgangur verður að vera virkur fyrir það tilvik undir gildandi stýringum verkefnis og stofnunar.

Ekki veikja stefnu stofnunar og ekki kveikja á konsólaaðgangi fyrir allt verkefnið til að undirbúa eina vél. Biddu eigandann að útbúa leyfilega aðferðina fyrir tilraunina, ekki meðan á trufluninni stendur.

Skref 2: sannaðu að þú getir lesið úttak

Að lesa seríulegt úttak er ódýrasta athugunin og þjálfar flutninginn án þess að snerta innskráninguna gesta:

gcloud compute instances get-serial-port-output VM_NAME \
    --project PROJECT_ID --zone ZONE --port 1

Skiptu út auðkennunum og notaðu leyfilega gáttina. Ræsingarskilaboð og konsólslúður segja þér að rásin virki. Þau sanna ekki að þú getir fengið skel. Þess vegna er þetta skref aðskilið frá því næsta.

Skref 3: sannaðu að þú getir fengið gagnvirka innskráningu

Tengingarskipunin opnar raunverulega lotu, ekki forskoðun:

gcloud compute connect-to-serial-port VM_NAME \
    --project PROJECT_ID --zone ZONE --port 1

Meðhöndlaðu hana sem lifandi konsólu. Staðfestu endapunktinn áður en þú slærð inn skilríki, því hvert lyklslá lendir á tilvikinu.

Hér fellur áætlun sem virtist fullkomin í sundur. Skýjaheimild er ein mörk og Linux-innskráningarbeiðnin önnur, og að fara framhjá þeirri fyrstu segir ekkert um þá seinni.

Skref 4: undirbúðu skilríki sem gesturinn mun samþykkja

Linux-myndir frá Google virkja ekki staðbundna lykilorðstengda innskráningu sjálfgefið. Seríulota getur því náð innskráningarbeiðni og stöðvast þar, í bið eftir skilríkjum sem enginn setti.

Samþykktur endurheimtureikningur, eða hvaða skjalfesta gestainnskráningaraðferð sem uppsetningin þín notar, verður að vera til og prófuð. SSH-lykill sem virkar yfir netið uppfyllir ekki sjálfkrafa lykilorðsbeiðni konsólunnar, svo athugaðu raunverulega OS Login- og lyklauppsetningu í stað þess að gera ráð fyrir að hún nái þessu tilfelli.

Haltu endurheimtuskilríkjum leyndum. root-lykilorð sem límdist inn í opinbert startup-script-dæmi er annað atvik sem bíður þess að gerast.

Skref 5: skráðu eigandann og afturköllunina

Áður en þú breytir einhverju skaltu varðveita virka netuppsetningu og skrifa niður hver stýrir henni, hvaða VPN-þjónusta kemur við sögu og hvernig afturköllun fer fram. Úr virkri lotu skráðu núverandi leiðir, reglur og stöðu þjónustunnar.

Það er þessi skráning sem breytir endurheimtarás í viðgerð, því konsólan gefur þér aðeins beiðni. Skrifaðu hana fyrir breytinguna, ekki síðar úr minni. Afturköllun sem er afrituð úr wiki er ekki afturköllun. Hún er ágiskun með útgáfunúmeri.

Skref 6: staðfestu eftir breytinguna

Núverandi SSH-lota getur lifað af stefnu sem lokar fyrir nýjar, svo prófaðu með nýrri venjulegri stjórnunarlotu. Prófaðu síðan VPN-hegðunina sem þú breyttir sérstaklega.

Haltu endurheimtarásinni opinni þar til báðar athuganir standast, og lokaðu henni síðan samkvæmt aðgangsstefnunni. Ef SSH er þegar glatað og engin konsólinnskráning var undirbúin skaltu hætta að líta á seríuaðgang sem öryggisnet og hefja leyfilegt vinnuferli endurheimtar reiknings eða viðgerðar tilviks. Að reisa aðra VM sem stökkvél lagar hvorki leið gesta né skilríkin sem vantar.