როგორ დავგეგმოთ VPN როუტერის დაბრუნება დისტანციურ შეცვლამდე

თქვენ აპირებთ გვირაბის რედაქტირებას, რომელიც ატარებს თქვენს სესიას, ასე რომ, სამუშაო, რომელიც გიშველის, მოხდება ცვლილებამდე და არა მის შემდეგ შეჯახების დროს. უსაფრთხოების ქსელი არ არის VPN გვერდზე: ეს არის აღდგენის ეკრანი, კონსოლი ან მეორე გზა, რომელიც არ გადის თქვენს მიერ რედაქტირებულ მოწყობილობაში. სამივეს ვგეგმავ იმავე როუტერის ინტერფეისზე, რომლის რედაქტირებასაც ვაპირებ და ერთხელ ვიყენებ გზას, სანამ ყველაფერი მუშაობს. ეს არის გზამკვლევი, რომელსაც მივყვები, თანმიმდევრობით.

გაიარეთ აღდგენის ნაკადი სანამ დაგჭირდებათ

გახსენით გვერდი, რომელიც გააუქმებს თქვენს ცვლილებას. pfSense-ზე, ეს არის დიაგნოსტიკა > სარეზერვო და აღდგენა; OpenWrt-ზე არის System > Backup / Flash Firmware; OPNsense-ზე არის სისტემა > კონფიგურაცია > სარეზერვო ასლები, რომელიც ასევე ინახავს წინა ვერსიებს, რომელთა დაბრუნებაც შეგიძლიათ ფაილის გარეშე. თქვენ ჯერ არაფერს აღადგენთ. თქვენ ამოწმებთ, იხსნება თუ არა ეს გვერდი იმ ბილიკიდან, რომელიც გექნებათ ცვლილების დროს, სურს თუ არა მას შემდეგ გადატვირთვა და უარყოფს თუ არა ის არქივს, რომელიც დაწერილია სხვა firmware გამოშვებით. Netgate ადასტურებს საკუთარ ექსპორტს და აღადგენს ნაკადს docs.netgate.com.

აღდგენა ცვლის მთელ კონფიგურაციას, ასე რომ, ეს არ არის ერთი წესის გაუქმება. არქივი შეიცავს მომხმარებლებს, სერთიფიკატებს, VPN კლავიშებს, firewall-ის წესებს და ადმინისტრატორის ინტერფეისის პარამეტრებს, რომლებიც წყვეტენ ვინ შეიძლება შევიდეს სისტემაში. სწორედ ამიტომ ვაკეთებ ექსპორტს ცვლილებამდე და ვასახელებ ფაილს თარიღით და ერთი პარამეტრით, რომელზეც ვაპირებ შეხებას. ერთთვიანი ფაილის აღდგენა ასევე აღადგენს თვის წინანდელ გვირაბს და თვის წინა კლავიშს.

თუ პლატფორმა იტვირთება არქივები იმავე გამოშვებიდან, ახლავე გაითვალისწინეთ: პროგრამული უზრუნველყოფის განახლება და VPN რედაქტირება ერთ ფანჯარაში ტოვებს თქვენს ხელში ფაილს, რომელსაც როუტერი არ მიიღებს.

დაამტკიცეთ გზა, რომელიც გამოტოვებს გვირაბს

მეორე SSH სესია იგივე ლეპტოპიდან იმავე საჯარო მისამართზე არ არის მეორე გზა; ორივე ერთად კვდება. დამოუკიდებელი გზა არის ერთ-ერთი მათგანი: სერიული ან KVM კონსოლი, ჰიპერვიზორი ან ღრუბლოვანი კონსოლი, მართვის VLAN ხელმისაწვდომი ჰოსტისგან, რომელიც არ არის გვირაბის უკან, მეორე WAN ან LTE მოდემი თავისი ადმინისტრაციული წესით, ან ადგილზე მყოფი პირი.

შეამოწმეთ არჩეული გზა, სანამ როუტერი ჯანმრთელია. შედით მასზე, გახსენით VPN გვერდი და შეაჩერეთ შენახვამდე. თუ დაბლოკვის წესი საშუალებას აძლევს მას მიაღწიოს მხოლოდ საინფორმაციო დაფაზე, თქვენ ჯერ კიდევ გაქვთ დრო ამის გამოსწორებისთვის და შესწორება უნდა დადგეს წესის წესის უარყოფის წესზე ზემოთ.

მარშრუტიზატორების უმეტესობა აკავშირებს ადმინისტრაციულ სერვისს ინტერფეისს ან მისამართების ოჯახს, ამიტომ ზოლის გარეშე მარშრუტი უნდა მივიდეს იქ, სადაც ეს სერვისი უსმენს. ფანჯრის შეკვრის გაფართოება მუშაობს, მაგრამ ეს თავისთავად არის იმ გზის ცვლილება, რომელზეც თქვენ ხართ დამოკიდებული.

ფაილის ექსპორტი და ჩაწერეთ ტრიგერი

გადაიტანეთ ექსპორტი როუტერიდან და გამორთეთ მანქანა, რომელმაც შეიძლება დაკარგოს გვირაბი. როუტერის ფაილურ სისტემაზე შენახული სარეზერვო ასლი ქრება ზუსტად იმ წარუმატებლობის შემთხვევაში, რომელსაც თქვენ გეგმავთ, ხოლო ლეპტოპზე ჯდომა, რომელიც დაკარგავს კავშირს, ძლივს უკეთესია.

განიხილეთ ეს ფაილი, როგორც სერთიფიკატი. მას აქვს პირადი გასაღებები, წინასწარ გაზიარებული საიდუმლოებები, სერთიფიკატის მასალა და პაროლის ჰეშები, ასე რომ დაშიფრეთ იგი ან შეინახეთ იგივე ყურადღებით, როგორც როუტერის შესვლა.

შემდეგ დაწერეთ ერთი წინადადება: თუ მე ვერ გავხსნი მენეჯმენტის ახალ სესიას PATH-დან ცვლილებებიდან N წუთში, აღვადგენ FILE-ს და გადატვირთავ. წინადადება აიძულებს მასშტაბის შემცირებას ერთ ცვლადამდე. მარშრუტის, DNS და firewall-ის ერთად შესრულებული რედაქტირება სწრაფად შეინახება და ნელა ნაწილდება, როდესაც კიდევ ერთ მცდელობას მიიღებთ.

გამოიყენეთ ჩადენის ტაიმერი, სადაც პლატფორმას აქვს

რამდენიმე პლატფორმა გააუქმებს ცვლილებას, თუ თქვენ ვერ დაადასტურებთ მას. RouterOS Safe Mode, რომელიც შეყვანილია ტერმინალში Ctrl+X-ით, აბრუნებს ამ სესიაში განხორციელებულ ცვლილებებს, როდესაც სესიის ვარდნა ხდება. ჯუნოსი უკან აბრუნებს დადასტურებულ დაუდასტურებელ ჩადენას. Cisco IOS წყვილების გადატვირთვა გადატვირთვის გაუქმებით. საწარმოს firewalls ჩვეულებრივ აწყობენ მოლოდინში ცვლილებებს ავტომატური გადაბრუნების ტაიმერით. OpenWrt-ს და სამომხმარებლო პროგრამული უზრუნველყოფის უმეტესობას არაფერი აქვს ექვივალენტი, ამიტომ ტაიმერი უნდა იყოს გარე: დაგეგმილი აღდგენა, cron სამუშაო, რომელიც ცვლის ფაილს უკან და განაახლებს სერვისს, ან გადატვირთვა წინა კონფიგურაციაში.

არ იფიქროთ, რომ მსგავსი დასახელების ფუნქცია იმავე ფარგლებს მოიცავს. ერთი პროდუქტის ავტომატური დაბრუნება შეიძლება მოიცავდეს მხოლოდ firewall-ის წესებს; მეორემ შეიძლება მოიცვას მთელი კონფიგურაცია, მართვის წესის ჩათვლით, რომელიც ახლახან შეცვალეთ, რათა ხელმისაწვდომობის შენარჩუნება. წაიკითხეთ რას უბრუნებს ტაიმერი, სანამ მასზე დაყრდნობით.

ტაიმერი არ არის ექსპორტირებული ფაილის შემცვლელი. ის ვერ ხერხდება იმ შემთხვევაში, რაც აქ ყველაზე მნიშვნელოვანია: სესია გადარჩება, მართვის სიბრტყე არა და არაფერი არ იწვევს დაბრუნებას.

შეამოწმეთ სრულიად ახალი კავშირი და არა ღია

ჩამოყალიბებული სესია ხშირად აგრძელებს მუშაობას იმ ცვლილებებით, რომლებიც ბლოკავს ყოველ ახალ ხელჩასაჭიმს, რადგან მისი მდგომარეობა უკვე არსებობს და პოლიტიკის შეფასება ხდება კავშირის შექმნისას. ცვლილების შემდეგ შექმენით ახალი კავშირები დისტანციური მხრიდან: ახალი SSH სესია, ახალი VPN ხელის ჩამორთმევა კლიენტისგან, გვერდის ნორმალური ჩატვირთვა როუტერის LAN მისამართზე.

# run these from the remote machine, in a new shell
ssh -o ConnectTimeout=8 admin@"$ROUTER_WAN"
nc -vz "$ROUTER_WAN" 443
dig +short example.internal "@$ROUTER_LAN"

შემდეგ შეამოწმეთ გვირაბის ქვემოთ, ვიდრე თავად გვირაბი: სახელის გარჩევადობა, TCP კავშირი შიდა სერვისთან და აპლიკაცია, რომელსაც რეალურად იყენებთ. გვირაბი, რომელიც ადგენს, მაგრამ არ აწვდის გამოსაყენებელ DNS-ს, გამოიყურება ჯანსაღი კლიენტის სტატუსში და გატეხილია ბრაუზერში, და ეს განსხვავება გადაწყვეტს, აღადგინოთ ფაილი თუ დააფიქსიროთ ერთი წესი.

გაიმეორეთ იძულებითი გათიშვის და ხელახლა დაკავშირების შემდეგ და კიდევ ერთხელ გადატვირთვის შემდეგ, თუ პლატფორმა ხელახლა გამოიყენებს მდგომარეობას ჩატვირთვისას. ზოგიერთი კონფიგურაცია გადის ყველა ცოცხალი ტესტის და წარუმატებელია პირველი ჩატვირთვისას ახალი წესების შესაბამისად.

დახურეთ ფანჯრისთვის გაღებული კარები

წაშალეთ დროებითი ნებისმიერი წყაროს ადმინისტრატორის წესი, გადაყრილი ანგარიში, გაფართოებული სავალდებულო, ნებადართული DNS წესი და გამართვის ჟურნალი. ეს წაშლა თავისთავად არის ცვლილება იმ გზაზე, რომელზეც თქვენ ხართ დამოკიდებული, ასე რომ, ხელახლა ჩაატარეთ ახალი კავშირის ტესტი მის შემდეგ, დისტანციური მხრიდან.

შეინახეთ ექსპორტირებული ფაილი მანამ, სანამ ცვლილება არ გადაიტვირთება და რეალურ კლიენტს არ დაუკავშირდება, შემდეგ გადაატრიალეთ ყველაფერი, რაც გააზიარეთ, სანამ ფანჯარა ღია იყო. კონფიგურაცია, რომელიც მუშაობს შემდეგ ჩატვირთვამდე, არის მშვიდი გზა როუტერის დასაკარგავად ერთი კვირის შემდეგ, როდესაც არავის ახსოვს რომელი წესი იყო დროებითი.

ჩაწერეთ ცვლილება, სადაც გამოიყურება შემდეგი ადამიანი: რა გადავიდა, რომელი ფაილი გააუქმებს მას, რომელი გზა აღწევს კონსოლს და რომელი წესი იყო დროებითი.

სანამ VPN გვერდს გახსნით, ოთხი რამ უნდა არსებობდეს: თქვენ მიერ გამოცდილი აღდგენის ნაკადი, თქვენ მიერ დადასტურებული მეორე გზა, ექსპორტირებული ფაილი, რომელსაც რეალურად შეგიძლიათ მიაღწიოთ, და წერილობითი ტრიგერი. თუ რომელიმე აკლია, ჯერ გაასწორეთ. ცვლილებას შეუძლია დაელოდოს საათს; დაბლოკვა არ შეიძლება.