VPN სერვერის კონფიგურაციის უსაფრთხოდ უკუქცევა

სერვერის უკუქცევა გადაწყვეტილებაა იმაზე, თუ რომელი ფენა ჩავარდა, და არა ფაილების კოპირების ვარჯიში. კონფიგურაცია, რწმუნებები და პაკეტების ვერსიები სხვადასხვა საათით მოძრაობენ, და ერთის აღდგენა, სანამ სხვები აქტუალური რჩება, ქმნის ჰოსტს, რომელიც ჯანმრთელად გამოიყურება და არათანმიმდევრულად იქცევა. ქვემოთ მოცემული თანმიმდევრობა ვარაუდობს, რომ ცვლილება უკვე შეცდა, და გთხოვთ აღადგინოთ ყველაზე პატარა თანმიმდევრული მდგომარეობა. გაიარეთ იგი რიგრიგობით და გარე წვდომის შემოწმება ჩათვალეთ იმ ნაბიჯად, რომელიც არავინ უნდა გამოტოვოს.

შექმენით საკონტროლო წერტილი, რომელსაც ნამდვილად შეძლებთ აღადგინოთ

ჩაწერეთ კონფიგურაცია, რომელსაც სერვისი გაშვებისას კითხულობს, იმ ვერსიასთან ერთად, რომელმაც ის ბოლოს გაანალიზა. ფაილი, რომელიც ძველ გამოშვებაში სუფთად იტვირთებოდა, განახლების შემდეგ შეიძლება უარყონ ან ჩუმად უგულებელყონ, ამიტომ ვერსია იმავე ჩანაწერს ეკუთვნის. ჩართეთ მასალა, რაზეც კონფიგურაცია მიუთითებს: პირადი გასაღებები, სერტიფიკატების ბილიკები, მსმენელთა განსაზღვრებები და DNS-ისა და ცეცხლის კედლის ჩანაწერები, რომლებიც სერვისს ხელმისაწვდომს ხდიან. თუ აღდგენას დასჭირდება ფაილი, რომელიც არ შეინახეთ, საკონტროლო წერტილი არასრულია.

დაასახელეთ ყოველი პარამეტრის მფლობელი, სანამ სისტემა ჯანმრთელია. მომწოდებლის პანელის მიერ დაყენებული მარშრუტი, ჰოსტის ცეცხლის კედლის დამატებული და კლიენტებისთვის გაგზავნილი სამი განსხვავებული ობიექტია, და არასწორის აღდგენა დანარჩენ ორს ადგილზე ტოვებს. პარამეტრის, მფლობელისა და ფაილის ბილიკის მოკლე ცხრილი საკმარისია.

გაუქმებები კონფიგურაციისგან ცალკე შეინახეთ

ძველ კონფიგურაციას შეუძლია ჩუმად ხელახლა დაუკავშიროს მოწყობილობა, რომელიც განზრახ წაშალეთ, და ეს აღდგენას უსაფრთხოების უკუსვლად აქცევს. შეინახეთ მიმდინარე გაუქმებების სია და გამორთული ანგარიშები, სანამ ქსელურ პოლიტიკას აღადგენთ, შემდეგ ხელახლა გამოიყენეთ ისინი, სანამ სერვისი კლიენტებს მიიღებს.

იდენტობის მდგომარეობას მოეპყარით როგორც ცალკე უკუქცევას, საკუთარი მტკიცებულებებით. სერტიფიკატების გაუქმების ფაილები, ანგარიშის გამორთვა და MFA-ზე რეგისტრაცია იშვიათად არის დემონის კონფიგურაციის იმავე ადგილას, და კონფიგურაციის აღდგენა მათ არ შეეხება. ჯერ შეამოწმეთ მიმდინარე მდგომარეობა, რომ იცოდეთ რა უნდა გადარჩეს. აღდგენის შემდეგ დაადასტურეთ, რომ წაშლილი იდენტობა კვლავ ვერ უკავშირდება.

მიაღწიეთ ჰოსტს, როცა გვირაბი ვარდება

გახსენით გზა მანქანამდე, რომელიც არ არის დამოკიდებული ცვლად კომპონენტზე. ჰიპერვიზორის კონსოლი, მართვის მისამართი ცალკე ინტერფეისზე ან სერიული კონსოლი ყველა ვარგისია; გვირაბით გატარებული SSH სესია არა. თუ შესვლის ერთადერთი გზა ის VPN-ია, რომლის გადატვირთვასაც აპირებთ, ცუდი მარშრუტი ან ცეცხლის კედლის წესი გართმევთ მის გასწორების უნარს. გამოსცადეთ ალტერნატიული გზა ცვლილებამდე და არა შემდეგ. შედით მისი მეშვეობით ერთხელ, დაადასტურეთ, რომ sudo მუშაობს, და ჩაწერეთ ზუსტი მისამართი, რომელიც გამოიყენეთ.

გამოცდა მარტივია: ჩამოწიეთ გვირაბი, სანამ ალტერნატიული გზით ხართ დაკავშირებული, და ნახეთ გადარჩება თუ არა სესია. თუ ის წყდება, ხარვეზი იპოვეთ მანამ, სანამ ის გაგაჭედებდათ.

გამოიყენეთ ერთი რევიზია და იცოდეთ როდის ამოქმედდება

გამოიყენეთ სერვისის reload ან restart დოკუმენტაცია და გაარკვიეთ, რომელი დირექტივები რომელ მომენტში იკითხება. ზოგი მნიშვნელობა reload-ზე მოქმედებს, სხვები მხოლოდ მაშინ, როცა ახალი სესია ან პროცესი იწყება, ამიტომ ფაილის რედაქტირება ვერაფერს ამტკიცებს გაშვებულ მდგომარეობაზე. აღადგინეთ ერთი რევიზია და ნუ აურევთ ახალ ფაილს ძველ გაშვების მდგომარეობას. ეჭვის შემთხვევაში სერვისის სრული გადატვირთვა უფრო ადვილი დასაბუთებელია, ვიდრე ნაწილობრივი reload.

არჩევამდე შეამოწმეთ ერთეულის განსაზღვრება: systemctl show -p ExecReload openvpn@server გეუბნებათ, საერთოდ არსებობს თუ არა reload-ის კაუჭი. შემდეგ გამოიყენეთ რევიზია და წაიკითხეთ ჟურნალში პირველი ახალი შეცდომები, სანამ რაიმე სხვას შეცვლით.

გადაამოწმეთ, ჩაწერეთ და შემდეგ გამოიკვლიეთ

დააკავშირეთ ერთი უფლებამოსილი კლიენტი და გამოსცადეთ, რისთვისაა სერვისი: სახელების გარჩევა, ხელახალი დაკავშირება და ის აპლიკაცია, რომელიც ჩავარდა. დაადასტურეთ, რომ გაუქმებული იდენტობა კვლავ უარყოფილია. ჩაწერეთ აღდგენილი რევიზია, დრო და მიზეზი, რადგან შემდეგ ოპერატორს სამივე დასჭირდება. ის უკუქცევა, რომელიც არავის დოკუმენტირებული არ აქვს, საიდუმლოდ იქცევა, როცა სერვისი შემდეგ ჯერზე ცუდად მოიქცევა.

systemctl status openvpn@server --no-pager
journalctl -u openvpn@server -n 50 --no-pager

როცა სერვისი სტაბილური იქნება, გაამრავლეთ წარუმატებელი ცვლილება ჰოსტზე ან სურათზე, რომლის გადაგდებაც შეგიძლიათ. ეს ყოფს ცუდ კონფიგურაციას ცუდი პაკეტისგან ან ვადაგასული სერტიფიკატისგან. შეინახეთ აღდგენილი კონფიგურაცია ვერსიების კონტროლის ქვეშ, რომ შემდეგი საკონტროლო წერტილი ცნობილი commit-იდან დაიწყოს. ვარჯიშის აზრი დოკუმენტირებული საბოლოო წერტილია და არა მუდმივი დაქვეითება.