VPN სერვერიდან ჩაკეტილი: შეინარჩუნეთ შესვლის მეორე გზა
გატეხილი გვირაბი არ უნდა წაგართვათ სერვერის გარემონტების უნარიც. დაგეგმეთ, გამოსცადეთ და გადახედეთ დამოუკიდებელ ადმინისტრაციულ გზას, სანამ დაგჭირდებათ.
ხსნით კონსოლს, ცვლით ერთ ფაირვოლის წესს და გვირაბი, რომლითაც იყავით დაკავშირებული, ქრება. ცვლილება სწორი იყო, გადატვირთვა არა, და ახლა მანქანაში დაბრუნების ერთადერთი გზა ის არის, რომელიც ახლახან გატეხეთ. შესვლის მეორე გზა დიზაინის გადაწყვეტილებაა და ის უნდა არსებობდეს შეფერხებამდე და არა მის დროს.
გადახედეთ, რაც ჯერ კიდევ გაქვთ
დაიწყეთ თქვენს წინ არსებული კონსოლის ეკრანიდან და ჩამოთვალეთ გზები, რომლებიც გვირაბზე არ არიან დამოკიდებული. მომწოდებლის ვებ-კონსოლი სერიული ან VNC სესიით ერთია. ადმინისტრირების ინტერფეისი ცალკე ქსელში მეორეა. ფიზიკური წვდომა მესამეა და სწორედ ის აკლიათ ხალხს ყველაზე ცუდ მომენტში.
| Path | Depends on | Usually fails when |
|---|---|---|
| Provider console | Account access and the provider's own API | Credentials live in a wiki only reachable over the tunnel |
| Management subnet | A second interface and its own routing | The bad change was a global route or firewall policy |
| Second tunnel | A different listener, port and credentials | Both listeners were changed in the same edit |
| Physical or local console | Being in the building | Nobody has been in the building for a year |
მესამე სვეტი წაიკითხეთ როგორც წარუმატებლობების სია და არა როგორც აბსტრაქცია. ამ გზებიდან ორი ჩვეულებრივ ერთი და იმავე მიზეზით ფუჭდება. ცხრილი სწორედ ის საშუალებაა, რომლითაც ამას ამჩნევთ მანამ, სანამ შეფერხება აგიხსნით.
დამოუკიდებლობა დამოკიდებულებების საკითხია
აღდგენის ანგარიში დამოუკიდებელი არ არის, თუ მისი პაროლი ინახება სერვისში, რომელსაც გვირაბით აღწევთ. მეორე VPN იმავე ჰოსტზე, იმავე პორტზე და იმავე ფაირვოლის პოლიტიკითაც არ არის დამოუკიდებელი, რადგან ცვლილება, რომელმაც პირველი გატეხა, ორივეს ამტვრევს.
ჩადით ჯაჭვის გასწვრივ და დაასახელეთ, რა სჭირდება თითოეულ საფეხურს. ქსელური ხელმისაწვდომობა, სახელების გარჩევა, აუთენტიფიკაციის წყარო და თავად ადმინისტრირების სერვისი ოთხი ცალკე დამოკიდებულებაა და ნებისმიერი მათგანის გამზიარებელი გზა იმ წარუმატებლობას მემკვიდრეობით იღებს.
არასოდეს გამოცდილი გზა საკუთარ ეჭვს იმსახურებს. თვეების განმავლობაში დაუხსნელი კონსოლი შეიძლება მოითხოვდეს პაროლის აღდგენას ელფოსტით და ეს საფოსტო ყუთი შეიძლება იყოს იმ მანქანაზე, რომელსაც ვერ აღწევთ. გამოსცადეთ გზა, სანამ ყველაფერი მუშაობს, და ამას მშვიდ შუადღეს იპოვით.
მეორე გზა გამოიყენეთ ერთი კონტროლირებული ცვლილებისთვის
კონსოლიდან აიღეთ სურათი ან დააკოპირეთ კონფიგურაცია, რომელსაც აპირებთ შეცვალოთ. შეცვალეთ ერთი რამ. გადატვირთეთ სერვისი და წაიკითხეთ შედეგი, სანამ სხვა რამეს შეეხებით, რადგან ერთდროულად ორი ცვლილება აღდგენას ექსპერიმენტად აქცევს.
შეინახეთ აღდგენის სესია ღიად, სანამ ამას აკეთებთ. მეორე გზის მთელი ღირებულება იმაშია, რომ ის იმას გადაურჩება, რასაც ცვლით, ამიტომ მისი პირველად დახურვა შლის ერთადერთ თვისებას, რამაც ის სასარგებლო გახადა.
შეამოწმეთ აღდგენის გზიდან და არა მეხსიერებიდან
მთავარი შემოწმება ის არის, ბრუნდება თუ არა ჩვეულებრივი გზა, და აღდგენის სესია სწორედ ის ადგილია, სადაც ამას რიგით ადასტურებთ:
systemctl status openvpn-server@server --no-pager ss -lntup | grep -E ':(1194|443)\b' nft list ruleset | sed -n '1,40p' journalctl -u openvpn-server@server --since '-10 min' --no-pager | tail -n 30
ჯერ წაიკითხეთ სერვისის მდგომარეობა, შემდეგ მსმენელი, შემდეგ წესები, შემდეგ ჟურნალი. სერვისი, რომელიც მსმენელის გარეშე მუშაობს, სერვისის კონფიგურაციაზე მიუთითებს, ხოლო მსმენელი მიუწვდომელი წესებით ფილტრაციაზე. რიგი მნიშვნელოვანია, რადგან ყოველი საფეხური ავიწროებს შემდეგს, და ჟურნალზე გადახტომა ჩვეულებრივ ნიშნავს შეცდომების კითხვას, რომლებიც სიმპტომს აღწერენ და არა მიზეზს.
systemctl-ის დოკუმენტაცია მოიცავს აქ გამოყენებულ მდგომარეობისა და გადატვირთვის ქცევას, მათ შორის როგორ ტოვებს წარუმატებელი გადატვირთვა წინა პროცესს მომუშავეს. თანმიმდევრული რევიზიის აღდგენა უკეთესია, ვიდრე კლიენტიდან განმეორებითი ხელახლა დაკავშირება, რომელსაც სერვერის გარემონტება არ შეუძლია. თუ ცვლილებამდე განსაზღვრული უკუქცევის პირობა დაკმაყოფილდა, აღადგინეთ და გაჩერდით.
შეინახეთ ინვენტარი განახლებული
გადახედეთ წვდომის სიას, როცა ადამიანები ან ინფრასტრუქტურა იცვლება. გამოსცადეთ აღდგენის გზა, სანამ ყველაფერი მუშაობს. გააუქმეთ ანგარიშები, რომლებიც ბოლო რეორგანიზაციის შემდეგ არავის გამოუყენებია. ორი მოძველებული ანგარიში და ერთი ვადაგასული სერტიფიკატი სამშაბათს პატარა დალაგებაა და კვირას შეფერხება.
ჩაწერეთ, ვის შეუძლია თითოეული გზის გამოყენება, რას უშვებს ის და როგორ ბრუნავს რწმუნებები. მფლობელის გარეშე აღდგენის გზა დავიწყებულ შესასვლელად იქცევა, რაც გარეთ ჩაკეტვისგან განსხვავებული ტიპის წარუმატებლობაა.