VPN серверінің конфигурациясын қауіпсіз түрде кері қайтару

Серверді кері қайтару — қай қабат істен шыққаны туралы шешім, файлдарды көшіру жаттығуы емес. Конфигурация, тіркелгі деректері және бума нұсқалары бөлек сағаттармен жүреді, біреуін қалпына келтіріп, қалғандарын өзекті қалдыру сау көрінетін, бірақ тұрақсыз әрекет ететін хост жасайды. Төмендегі реттілік өзгеріс әлдеқашан қате кеткенін болжайды және ең кіші үйлесімді күйді қалпына келтіруді сұрайды. Оны ретімен орындап, белдеуден тыс қатынауды тексеруді ешкім өткізіп жібермейтін қадам деп қараңыз.

Шынымен қалпына келтіре алатын бақылау нүктесін жасаңыз

Қызмет іске қосылғанда оқитын конфигурацияны, оны соңғы рет талдаған нұсқамен бірге жазыңыз. Ескі шығарылымда таза жүктелген файл жаңартудан кейін қабылданбауы немесе үнсіз еленбеуі мүмкін, сондықтан нұсқа сол жазбаға тиесілі. Конфигурация сілтейтін материалды қосыңыз: жеке кілттер, сертификат жолдары, тыңдаушы анықтамалары және қызметті қолжетімді ететін DNS мен өрт қабырғасы жазбалары. Егер қалпына келтіруге сақтамаған файлыңыз қажет болса, бақылау нүктесі толық емес.

Жүйе әлі сау кезде әр параметрдің иесін атаңыз. Провайдер панелі орнатқан маршрут, хосттың өрт қабырғасы қосқан маршрут және клиенттерге жіберілген маршрут үш түрлі нысан, ал дұрысын емес қалпына келтіру қалған екеуін орнында қалдырады. Параметр, иесі және файл жолы көрсетілген қысқа кесте жеткілікті.

Күшін жоюларды конфигурациядан бөлек ұстаңыз

Ескі конфигурация әдейі алып тастаған құрылғыны үнсіз қайта қосуы мүмкін, бұл қалпына келтіруді қауіпсіздік шегінісіне айналдырады. Желілік саясатты қалпына келтіріп жатқанда ағымдағы күшін жою тізімі мен өшірілген тіркелгілерді сақтаңыз, содан кейін қызмет клиенттерді қабылдамас бұрын оларды қайта қолданыңыз.

Жеке басының күйін өз дәлелдері бар жеке кері қайтару ретінде қарастырыңыз. Сертификатты күшін жою файлдары, тіркелгіні өшіру және MFA-ға тіркелу демон конфигурациясымен бір жерде сирек болады, ал конфигурацияны қалпына келтіру оларға тимейді. Алдымен ағымдағы күйді тексеріңіз, не сақталуы керектігін білу үшін. Қалпына келтіргеннен кейін алынған жеке басының әлі де қосыла алмайтынын растаңыз.

Туннель істен шыққанда хостқа жетіңіз

Өзгертіліп жатқан құрамдасқа тәуелді емес жол ашыңыз. Гипервизор консолі, бөлек интерфейстегі басқару мекенжайы немесе сериялық консоль — бәрі жарайды; туннель арқылы өтетін SSH сессиясы жарамайды. Егер жалғыз кіреберіс қайта іске қоспақ болып отырған VPN болса, қате маршрут немесе өрт қабырғасы ережесі оны түзету мүмкіндігіңізді алып қояды. Балама жолды өзгеріске дейін сынаңыз, кейін емес. Ол арқылы бір рет кіріңіз, sudo жұмыс істейтінін растаңыз және пайдаланған нақты мекенжайды жазып алыңыз.

Сынақ қарапайым: балама жолмен қосылған күйде туннельді түсіріңіз де, сессияның сақталатынын қараңыз. Егер үзілсе, ақауды сізді тұйыққа тіремес бұрын тапқансыз.

Бір түзетуді қолданыңыз және ол қашан күшіне енетінін біліңіз

Қызметтің reload немесе restart құжаттамасын пайдаланып, қай директивалардың қай сәтте оқылатынын анықтаңыз. Кейбір мәндер reload кезінде қолданылады, басқалары тек жаңа сессия немесе процесс басталғанда, сондықтан файлды өңдеу жұмыс істеп тұрған күй туралы ештеңе дәлелдемейді. Жаңа файлды ескі орындалу күйімен араластырудың орнына бір түзетуді қалпына келтіріңіз. Күмән болса, қызметті толық қайта іске қосу ішінара reload-ға қарағанда оңай түсіндіріледі.

Таңдамас бұрын бірлік анықтамасын тексеріңіз: systemctl show -p ExecReload openvpn@server reload ілмегінің мүлдем бар-жоғын айтады. Содан кейін түзетуді қолданып, басқа ештеңені өзгертпей тұрып журналдан алғашқы жаңа қателерді оқыңыз.

Тексеріңіз, жазып алыңыз және кейін зерттеңіз

Бір рұқсат етілген клиентті қосып, қызметтің не үшін екенін сынаңыз: атауды шешу, қайта қосылу және сәтсіз аяқталған қолданба. Күші жойылған жеке бастың әлі де қабылданбайтынын растаңыз. Қалпына келтірген түзетуді, уақытты және себепті жазыңыз, өйткені келесі операторға үшеуі де керек. Ешкім құжаттамаған кері қайтару қызмет келесі жолы дұрыс жұмыс істемегенде жұмбаққа айналады.

systemctl status openvpn@server --no-pager
journalctl -u openvpn@server -n 50 --no-pager

Қызмет тұрақтанған соң, сәтсіз өзгерісті тастай алатын хостта немесе суретте қайталаңыз. Бұл нашар конфигурацияны нашар бумадан немесе мерзімі өткен сертификаттан ажыратады. Қалпына келтірілген конфигурацияны нұсқа бақылауында ұстаңыз, келесі бақылау нүктесі белгілі commit-тен басталсын. Жаттығудың мәні — құжатталған соңғы нүкте, тұрақты төмендету емес.