Come pianificare il rollback della VPN del router prima di una modifica remota

Stai per modificare il tunnel che contiene la tua sessione, quindi il lavoro che ti salva avviene prima della modifica, non durante la corsa successiva. La rete di sicurezza non è nella pagina VPN: è la schermata di ripristino, una console o un secondo percorso che non passa attraverso il dispositivo che stai modificando. Li pianifico tutti e tre sulla stessa interfaccia del router che sto per modificare e utilizzo il percorso una volta mentre tutto funziona ancora. Questa è la procedura dettagliata che seguo, in ordine.

Segui il flusso di ripristino prima che ti serva

Apri la pagina che annullerebbe la modifica. Su pfSense cioè Diagnostica > Backup e ripristino; su OpenWrt è Sistema > Backup/Flash Firmware; su OPNsense è Sistema > Configurazione > Backup, che conserva anche le revisioni precedenti a cui è possibile ripristinare senza file. Non stai ancora ripristinando nulla. Stai controllando se quella pagina si apre dal percorso che avrai durante la modifica, se desidera un riavvio successivo e se rifiuta un archivio scritto da una versione firmware diversa. Netgate documenta il proprio flusso di esportazione e ripristino su docs.netgate.com.

Un ripristino scambia l'intera configurazione, quindi non è un annullamento di una regola. L'archivio contiene utenti, certificati, chiavi VPN, regole del firewall e le impostazioni dell'interfaccia di amministrazione che decidono chi può accedere. Ecco perché esporto immediatamente prima della modifica e rinomino il file con la data e l'unica impostazione che intendo modificare. Il ripristino di un file vecchio di un mese ripristina anche un tunnel e una chiave vecchi di un mese.

Se la piattaforma carica solo archivi della stessa versione, notalo ora: un aggiornamento del firmware più una modifica della VPN in una finestra ti lascia con un file che il router non accetterà.

Dimostra un modo per saltare il tunnel

Una seconda sessione SSH dallo stesso laptop allo stesso indirizzo pubblico non è un secondo percorso; muoiono entrambi insieme. Il percorso indipendente è uno di questi: una console seriale o KVM, un hypervisor o una console cloud, una VLAN di gestione raggiungibile da un host che non sia dietro il tunnel, un secondo modem WAN o LTE con una propria regola amministrativa, oppure una persona sul posto.

Testare il percorso scelto mentre il router è integro. Accedi, apri la pagina VPN e fermati prima di salvare. Se una regola di blocco consente solo di raggiungere la dashboard, hai ancora tempo per risolverlo e la correzione deve trovarsi sopra la regola di negazione nell'ordine delle regole.

La maggior parte dei router collega il servizio di amministrazione a un'interfaccia o a una famiglia di indirizzi, quindi un percorso fuori banda deve arrivare dove quel servizio è in ascolto. Ampliare l'associazione per la finestra funziona, ma è di per sé una modifica al percorso da cui dipendi.

Esporta il file e scrivi il trigger

Sposta l'esportazione dal router e dalla macchina che potrebbe perdere il tunnel. Un backup archiviato sul file system del router scompare esattamente nel momento in cui si sta verificando l'errore, e uno seduto sul laptop che sta per perdere la connettività è appena migliore.

Tratta quel file come una credenziale. Contiene chiavi private, segreti precondivisi, materiale del certificato e hash delle password, quindi crittografalo o archivialo con la stessa cura dell'accesso al router.

Quindi scrivi una frase: se non riesco ad aprire una nuova sessione di gestione da PATH entro N minuti dalla modifica, ripristino FILE e riavvio. La frase forza l'ambito a una variabile. Le modifiche al percorso, al DNS e al firewall eseguite insieme sono veloci da salvare e lente da dividere in due quando si riceve un altro tentativo.

Utilizza un timer di commit laddove la piattaforma ne abbia uno

Diverse piattaforme annulleranno la modifica per te se non la confermi. La modalità provvisoria di RouterOS, inserita con Ctrl+X in un terminale, ripristina le modifiche apportate in quella sessione quando la sessione viene interrotta. Junos esegue il rollback di un commit non confermato confermato. Le coppie Cisco IOS si ricaricano con l'annullamento del ricaricamento. I firewall aziendali in genere mettono in scena le modifiche in sospeso con un timer di ripristino automatico. OpenWrt e la maggior parte dei firmware consumer non hanno nulla di equivalente, quindi il timer deve essere esterno: un ripristino pianificato, un processo cron che ripristina un file e riavvia il servizio o un riavvio nella configurazione precedente.

Non dare per scontato che una funzionalità con un nome simile copra lo stesso ambito. Il ripristino automatico di un prodotto può coprire solo le regole del firewall; un altro potrebbe coprire l'intera configurazione, inclusa la regola di gestione che hai appena modificato per mantenerti raggiungibile. Leggi cosa ripristina il timer prima di fare affidamento su di esso.

Un timer non sostituisce un file esportato. Fallisce nel caso che qui conta di più: la sessione sopravvive, il piano di gestione no, e nulla attiva mai il ripristino.

Prova una connessione nuova di zecca, non quella aperta

Una sessione consolidata spesso continua a lavorare attraverso cambiamenti che bloccano ogni nuova stretta di mano, perché il suo stato esiste già e la policy viene valutata quando viene creata una connessione. Dopo la modifica, crea nuove connessioni dal lato remoto: una nuova sessione SSH, un nuovo handshake VPN da un client, un normale caricamento della pagina sull'indirizzo LAN del router.

# run these from the remote machine, in a new shell
ssh -o ConnectTimeout=8 admin@"$ROUTER_WAN"
nc -vz "$ROUTER_WAN" 443
dig +short example.internal "@$ROUTER_LAN"

Quindi testa a valle del tunnel anziché nel tunnel stesso: la risoluzione dei nomi, una connessione TCP a un servizio interno e l'applicazione effettivamente utilizzata. Un tunnel che stabilisce ma non distribuisce DNS utilizzabili appare integro nello stato del client e danneggiato nel browser, e questa differenza decide se ripristinare il file o correggere una regola.

Ripetere dopo una disconnessione e riconnessione forzata e ancora una volta dopo un riavvio se la piattaforma riapplica lo stato all'avvio. Alcune configurazioni superano tutti i test live e falliscono al primo avvio con le nuove regole in atto.

Chiudi le porte che hai aperto per la finestra

Rimuovi la regola di amministrazione temporanea di qualsiasi origine, l'account usa e getta, l'associazione ampliata, la regola DNS permissiva e la registrazione del debug. Questa rimozione è di per sé un cambiamento nel percorso da cui dipendi, quindi esegui nuovamente il test di nuova connessione, dal lato remoto.

Conserva il file esportato finché la modifica non è sopravvissuta al riavvio e alla riconnessione del client reale, quindi ruota tutto ciò che hai condiviso mentre la finestra era aperta. Una configurazione che funziona fino all'avvio successivo è un modo silenzioso per perdere un router una settimana dopo, quando nessuno ricorda quale regola era temporanea.

Annota la modifica dove guarderà la persona successiva: cosa è stato spostato, quale file lo annulla, quale percorso raggiunge la console e quale regola era temporanea.

Prima di aprire la pagina VPN, devono esistere quattro cose: un flusso di ripristino che hai testato, un secondo percorso che hai provato, un file esportato che puoi effettivamente raggiungere e un trigger scritto. Se ne manca qualcuno, aggiustalo prima. Il cambiamento può attendere un'ora; un blocco non può.