Hvernig á að skipuleggja leið VPN afturköllun fyrir fjarskipti

Þú ert að fara að breyta göngunum sem ber þína eigin lotu, þannig að vinnan sem bjargar þér gerist fyrir breytinguna, ekki á meðan á ferðinni stendur eftir hana. Öryggisnetið er ekki á VPN síðunni: það er endurheimtarskjárinn, stjórnborðið eða önnur leið sem liggur ekki í gegnum tækið sem þú ert að breyta. Ég skipulegg alla þrjá á sama leiðarviðmóti og ég er að fara að breyta, og ég nota slóðina einu sinni á meðan allt virkar enn. Þetta er leiðarvísirinn sem ég fylgi, í röð.

Ganga endurheimt flæði áður en þú þarft á því að halda

Opnaðu síðuna sem myndi afturkalla breytinguna þína. Á pfSense er það Diagnostics > Backup & Restore; á OpenWrt er það System > Backup / Flash Firmware; á OPNsense er það System > Configuration > Backups, sem geymir einnig fyrri útgáfur sem þú getur snúið aftur í án skráar. Þú ert ekki að endurheimta neitt ennþá. Þú ert að athuga hvort þessi síða opnast frá slóðinni sem þú munt hafa meðan á breytingunni stendur, hvort hún vilji endurræsa eftir á og hvort hún hafnar skjalasafni sem er skrifað af annarri vélbúnaðarútgáfu. Netgate skráir eigin útflutning og endurheimt flæði kl docs.netgate.com.

Endurheimt skiptir um alla uppsetninguna, þannig að það er ekki afturköllun fyrir eina reglu. Skjalasafnið hefur að geyma notendur, vottorð, VPN lykla, eldveggsreglur og stillingar stjórnendaviðmótsins sem ákveða hverjir mega skrá sig inn. Þess vegna flyt ég út strax fyrir breytinguna og nefni skrána með dagsetningu og einni stillingu sem ég ætla að snerta. Með því að endurheimta mánaðargamla skrá endurheimtir hún einnig mánaðargömul göng og mánaðargamlan lykil.

Ef pallurinn hleður aðeins skjalasafni frá sömu útgáfu, athugaðu það núna: fastbúnaðaruppfærsla ásamt VPN-breytingu í einum glugga skilur þig eftir með skrá sem leiðin mun ekki samþykkja.

Sannaðu leið inn sem sleppir göngunum

Önnur SSH lota frá sömu fartölvu í sama almenna heimilisfang er ekki önnur leið; báðir deyja saman. Óháða leiðin er ein af þessum: rað- eða KVM leikjatölvu, yfirsýnar- eða skýjatölvu, stjórnunar-VLAN sem hægt er að nálgast frá hýsil sem er ekki fyrir aftan göngin, annað WAN eða LTE mótald með eigin stjórnunarreglu eða einstakling á staðnum.

Prófaðu valina leið á meðan beinin er heilbrigð. Skráðu þig inn yfir það, opnaðu VPN síðuna og hættu áður en þú vistar. Ef læsingarregla hleypir henni aðeins inn á mælaborðið hefurðu samt tíma til að laga það og leiðréttingin verður að sitja fyrir ofan neitunarregluna í regluröðinni.

Flestir beinir binda stjórnunarþjónustuna við viðmót eða heimilisfangafjölskyldu, þannig að leið utan bands þarf að koma þangað sem sú þjónusta hlustar. Að víkka bindinguna fyrir gluggann virkar, en það er sjálf breyting á leiðinni sem þú treystir á.

Flyttu út skrána og skrifaðu kveikjuna

Færðu útflutninginn af beininum og af vélinni sem gæti misst göngin sín. Öryggisafrit sem er geymt á leiðarskráakerfinu hverfur í nákvæmlega þeirri bilun sem þú ætlar að gera og einn sem situr á fartölvunni sem er við það að missa tengingu er varla betri.

Farðu með þá skrá sem skilríki. Það geymir einkalykla, fyrirfram deilt leyndarmál, vottorðsefni og lykilorðsþjöppun, svo dulkóðaðu það eða geymdu það með sömu aðgát og innskráning leiðarinnar.

Skrifaðu síðan eina setningu: ef ég get ekki opnað nýja stjórnunarlotu frá PATH innan N mínútna frá breytingunni endurheimti ég FILE og endurræsa. Setningin þvingar umfangið niður í eina breytu. Breytingar á leiðum, DNS og eldvegg sem eru framdar saman eru fljótlegar að vista og hægt að sundra þeim þegar þú færð eina tilraun í viðbót.

Notaðu skuldbindingartíma þar sem pallurinn hefur einn

Nokkrir pallar munu afturkalla breytinguna fyrir þig ef þér tekst ekki að staðfesta hana. RouterOS Safe Mode, sem er slegið inn með Ctrl+X í flugstöðinni, dregur breytingarnar sem gerðar voru í þeirri lotu til baka þegar lotan fellur niður. Junos afturkallar óstaðfesta skuldbindingu sem hefur verið staðfest. Cisco IOS pör endurhlaða inn með því að hætta við endurhleðslu. Fyrirtækjaeldveggir setja venjulega breytingar í vinnslu með sjálfvirkri afturköllunartíma. OpenWrt og flest vélbúnaðar neytenda hafa ekkert sambærilegt, þannig að þar þarf tímamælirinn að vera utanaðkomandi: áætluð endurheimt, cron vinna sem skiptir skrá aftur og endurræsir þjónustuna, eða endurræsing í fyrri stillingu.

Ekki gera ráð fyrir að samnefndur eiginleiki nái yfir sama umfang. Sjálfvirk afturköllun einnar vöru gæti aðeins náð yfir eldveggsreglur; önnur kann að ná yfir alla uppsetninguna, þar á meðal stjórnunarregluna sem þú breyttir nýlega til að hafa samband við þig. Lestu hvað tímamælirinn snýr aftur áður en þú treystir á hann.

Tímamælir kemur ekki í staðinn fyrir útflutta skrá. Það mistekst í því tilviki sem skiptir mestu máli hér: fundurinn lifir af, stjórnunarflugvélin gerir það ekki og ekkert kemur alltaf aftur af stað.

Prófaðu glænýja tengingu, ekki hina opnu

Staðfest fundur heldur oft áfram að vinna í gegnum breytingar sem hindra hvert nýtt handaband, vegna þess að ástand þess er þegar til staðar og stefna er metin þegar tenging er búin til. Eftir breytinguna, búðu til nýjar tengingar frá ytri hliðinni: ný SSH lota, nýtt VPN handaband frá viðskiptavini, venjuleg síðuhleðsla á LAN vistfang leiðarinnar.

# run these from the remote machine, in a new shell
ssh -o ConnectTimeout=8 admin@"$ROUTER_WAN"
nc -vz "$ROUTER_WAN" 443
dig +short example.internal "@$ROUTER_LAN"

Prófaðu síðan neðan við göngin frekar en göngin sjálf: nafnaupplausn, TCP tenging við innri þjónustu og forritið sem þú notar í raun og veru. Göng sem koma á en afhenda ekkert nothæft DNS líta heilbrigð í biðlarastöðu og biluð í vafranum og sá munur ræður því hvort þú endurheimtir skrána eða lagar eina reglu.

Endurtaktu eftir þvingaða aftengingu og endurtengja, og einu sinni enn eftir endurræsingu ef pallurinn virkar aftur við ræsingu. Sumar stillingar standast hvert lifandi próf og mistakast við fyrstu ræsingu með nýju reglurnar til staðar.

Lokaðu hurðunum sem þú opnaðir fyrir glugganum

Fjarlægðu bráðabirgðaregluna um hvaða uppspretta sem er, afgangsreikninginn, víðtæka bindingu, leyfilegu DNS-regluna og villuleitarskráninguna. Sú fjarlæging er í sjálfu sér breyting á slóðinni sem þú treystir á, svo endurtaktu ferska tengingarprófið eftir það, frá ytri hliðinni.

Haltu útfluttu skránni þar til breytingin hefur lifað af endurræsingu og raunverulegur viðskiptavinur tengdur aftur, snúðu síðan öllu sem þú deildir á meðan glugginn var opinn. Stilling sem virkar fram að næstu ræsingu er hljóðlát leið til að missa beini viku síðar, þegar enginn man hvaða regla var tímabundin.

Skrifaðu breytinguna niður hvar næsti maður lítur: hvað flutti, hvaða skrá afturkallar hana, hvaða slóð nær stjórnborðinu og hvaða regla var tímabundin.

Áður en þú opnar VPN síðuna verða fjórir hlutir að vera til: endurheimtarflæði sem þú hefur prófað, önnur leið sem þú hefur sannað, útflutt skrá sem þú getur raunverulega náð í og skrifleg kveikja. Ef einhvern vantar skaltu laga það fyrst. Breytingin getur beðið í klukkutíma; læsing getur það ekki.