Қашықтан өзгертуден бұрын маршрутизаторды VPN қайтаруды қалай жоспарлауға болады

Сіз өзіңіздің жеке сеансыңызды өткізетін туннельді өңдегелі жатырсыз, сондықтан сізді сақтайтын жұмыс одан кейінгі шиеленіс кезінде емес, өзгертуге дейін орындалады. Қауіпсіздік желісі VPN бетінде жоқ: бұл қалпына келтіру экраны, консоль немесе өңдеп жатқан құрылғы арқылы өтпейтін екінші жол. Мен үшеуін де өңдейтін маршрутизатор интерфейсінде жоспарлап отырмын және бәрі жұмыс істеп тұрған кезде жолды бір рет қолданамын. Бұл ретімен мен бақылайтын қадам.

Қажет болғанша қалпына келтіру ағынымен жүріңіз

Өзгерісіңізді қайтаратын бетті ашыңыз. pfSense жүйесінде Диагностика > Сақтық көшірме жасау және қалпына келтіру; OpenWrt жүйесінде бұл Жүйе > Сақтық көшірме / Flash микробағдарламасы; OPNsense жүйесінде бұл Жүйе > Конфигурация > Сақтық көшірмелер, сонымен қатар файлсыз қайтаруға болатын алдыңғы нұсқаларды сақтайды. Сіз әлі ештеңені қалпына келтірмейсіз. Сіз бұл беттің өзгерту кезінде болатын жолдан ашылатынын, оның кейін қайта жүктеуді қалайтынын немесе басқа микробағдарлама шығарылымымен жазылған мұрағатты қабылдамайтынын тексеріп жатырсыз. Netgate өзінің экспортын құжаттайды және ағынды қалпына келтіреді docs.netgate.com.

Қалпына келтіру бүкіл конфигурацияны ауыстырады, сондықтан ол бір ережені болдырмау болып табылмайды. Мұрағатта пайдаланушылар, сертификаттар, VPN кілттері, брандмауэр ережелері және кім кіре алатынын анықтайтын әкімші интерфейсінің параметрлері бар. Сондықтан мен өзгерту алдында бірден экспорттап, файлды түрткім келетін күні мен жалғыз параметрімен атаймын. Айлық файлды қалпына келтіру сонымен қатар айлық туннель мен бір айлық кілтті қалпына келтіреді.

Егер платформа тек сол шығарылымдағы мұрағаттарды жүктесе, қазір ескеріңіз: микробағдарламаны жаңарту және бір терезеде VPN өңдеуі маршрутизатор қабылдамайтын файлды сақтайды.

Туннельді өткізіп жіберетін жолды дәлелдеңіз

Бір ноутбуктен бірдей жалпы мекенжайға екінші SSH сеансы екінші жол емес; екеуі бірге өледі. Тәуелсіз жол мыналардың бірі болып табылады: сериялық немесе KVM консолі, гипервизор немесе бұлттық консол, туннельдің артында емес хосттан қол жеткізуге болатын басқару VLAN желісі, өзінің әкімшілік ережесі бар екінші WAN немесе LTE модемі немесе сайттағы адам.

Маршрутизатор сау болған кезде таңдалған жолды тексеріңіз. Ол арқылы жүйеге кіріп, VPN бетін ашыңыз және сақтау алдында тоқтаңыз. Егер құлыптау ережесі тек бақылау тақтасына жетуге мүмкіндік берсе, оны түзетуге әлі де уақытыңыз бар және түзету ереже тәртібіндегі бас тарту ережесінен жоғары тұруы керек.

Маршрутизаторлардың көпшілігі әкімші қызметін интерфейске немесе мекенжайлар тобына байланыстырады, сондықтан жолақтан тыс маршрут сол қызмет тыңдайтын жерге жетуі керек. Терезе үшін байланыстыруды кеңейту жұмыс істейді, бірақ ол сізге тәуелді жолды өзгерту болып табылады.

Файлды экспорттаңыз және триггерді жазыңыз

Экспортты маршрутизатордан және туннелі жоғалуы мүмкін құрылғыдан жылжытыңыз. Маршрутизатордың файлдық жүйесінде сақталған сақтық көшірме дәл сіз жоспарлап отырған сәтсіздікте жоғалады және қосылымды жоғалтқалы тұрған ноутбукта отыру жақсырақ.

Бұл файлды тіркелгі деректері ретінде қарастырыңыз. Ол жеке кілттерді, алдын ала ортақ құпияларды, сертификат материалдарын және құпиясөз хэштерін сақтайды, сондықтан оны шифрлаңыз немесе маршрутизаторға кіру сияқты мұқият сақтаңыз.

Содан кейін бір сөйлемді жазыңыз: егер өзгертуден кейін N минут ішінде PATH жүйесінен жаңа басқару сеансын аша алмасам, FILE қалпына келтіремін және қайта жүктеймін. Сөйлем ауқымды бір айнымалыға дейін төмендетеді. Бірге орындалған маршрут, DNS және брандмауэр өңдеулері тез сақталады және тағы бір әрекетті жасаған кезде екіге бөлінуі баяу болады.

Платформа бар жерде тапсырма таймерін пайдаланыңыз

Егер сіз оны растай алмасаңыз, бірнеше платформа сіз үшін өзгертуді қайтарады. Терминалда Ctrl+X пернелері арқылы енгізілген RouterOS қауіпсіз режимі сеанс тоқтаған кезде сол сеанста жасалған өзгерістерді қайтарады. Джунос расталмаған міндеттемені кері қайтарады. Cisco IOS жұптары қайта жүктеуден бас тарту арқылы қайта жүктеледі. Кәсіпорын брандмауэрлері әдетте күтудегі өзгерістерді автоматты түрде қайтару таймерімен жасайды. OpenWrt және тұтынушылардың микробағдарламаларының көпшілігінде баламасы жоқ, сондықтан таймер сыртқы болуы керек: жоспарланған қалпына келтіру, файлды ауыстырып, қызметті қайта іске қосатын cron тапсырмасы немесе алдыңғы конфигурацияға қайта жүктеу.

Ұқсас аталған мүмкіндік бірдей аумақты қамтиды деп ойламаңыз. Бір өнімнің автоматты түрде қайтарылуы тек брандмауэр ережелерін қамтуы мүмкін; басқасы барлық конфигурацияны қамтуы мүмкін, соның ішінде сіз өзіңізге қолжетімді болу үшін өзгерткен басқару ережесі. Таймерге сенбес бұрын нені қайтаратынын оқыңыз.

Таймер экспортталған файлды алмастыра алмайды. Бұл жерде ең маңызды жағдайда сәтсіздікке ұшырайды: сеанс аман қалады, басқару жоспары жоқ және ештеңе ешқашан қайтаруды тудырмайды.

Ашық қосылымды емес, жаңа қосылымды тексеріңіз

Белгіленген сеанс жиі әр жаңа қол алысуды блоктайтын өзгерістер арқылы жұмысын жалғастырады, себебі оның күйі бұрыннан бар және қосылым жасалған кезде саясат бағаланады. Өзгерістерден кейін қашықтағы жағынан жаңа қосылымдар жасаңыз: жаңа SSH сеансы, клиенттен жаңа VPN қол алысуы, маршрутизатордың LAN мекенжайына қалыпты бет жүктелуі.

# run these from the remote machine, in a new shell
ssh -o ConnectTimeout=8 admin@"$ROUTER_WAN"
nc -vz "$ROUTER_WAN" 443
dig +short example.internal "@$ROUTER_LAN"

Содан кейін туннельдің өзін емес, оның төменгі ағынын сынаңыз: атау рұқсаты, ішкі қызметке TCP қосылымы және сіз нақты пайдаланатын қолданба. Қолданылатын DNS-ті орнататын, бірақ беретін туннель клиент күйінде сау және браузерде бұзылған болып көрінеді және бұл айырмашылық файлды қалпына келтіру немесе бір ережені түзетуді шешеді.

Мәжбүрлеп ажыратудан және қайта қосудан кейін қайталаңыз және платформа жүктеу кезінде күйді қайта қолданса, қайта жүктеуден кейін тағы бір рет қайталаңыз. Кейбір конфигурациялар әрбір тікелей сынақтан өтеді және жаңа ережелер енгізілген бірінші жүктеуде сәтсіздікке ұшырайды.

Терезе үшін ашқан есіктерді жабыңыз

Уақытша кез келген дереккөзді басқару ережесін, жойылатын тіркелгіні, кеңейтілген байланыстыруды, рұқсат етілген DNS ережесін және жөндеу журналын алып тастаңыз. Бұл жоюдың өзі сіз тәуелді жолдағы өзгеріс болып табылады, сондықтан қашықтағы жағынан жаңа қосылым сынағын қайта іске қосыңыз.

Өзгеріс қайта жүктелгенше және нақты клиент қайта қосылғанша экспортталған файлды сақтаңыз, содан кейін терезе ашық болған кезде бөліскен кез келген нәрсені бұрыңыз. Келесі жүктеуге дейін жұмыс істейтін конфигурация - бұл бір аптадан кейін, қай ереженің уақытша екенін ешкім есіне алмайтын кезде маршрутизаторды жоғалтудың тыныш жолы.

Өзгерісті келесі адам қайда қарайтынын жазыңыз: не жылжытылды, қай файл оны қайтарады, консольге қай жол жетеді және қай ереже уақытша болды.

VPN бетін ашпас бұрын төрт нәрсе болуы керек: сіз тексерген қалпына келтіру ағыны, сіз дәлелдеген екінші жол, шын мәнінде қол жеткізуге болатын экспортталған файл және жазбаша триггер. Егер біреу жоқ болса, алдымен оны түзетіңіз. Өзгеріс бір сағат күте алады; құлыптау мүмкін емес.