VPN серверіңізден тыс құлыпталып қалдыңыз: кірудің екінші жолын сақтап қойыңыз
Бұзылған туннель серверді жөндеу мүмкіндігіңізді де алып қоюға тиіс емес. Қажет болмай тұрып, тәуелсіз әкімшілік жолды жоспарлап, сынап, қарап шығыңыз.
Консольді ашасыз, бір брандмауэр ережесін өзгертесіз, және қосылған туннеліңіз жоғалады. Өзгеріс дұрыс болды, қайта жүктеу дұрыс болмады, енді машинаға қайтатын жалғыз жол — жаңа ғана бұзғаныңыз. Кірудің екінші жолы — дизайн шешімі және ол үзіліске дейін болуы керек, үзіліс кезінде емес.
Қолыңызда қалғанын қарап шығыңыз
Алдыңыздағы консоль экранынан бастап, туннельге тәуелді емес жолдарды тізіп шығыңыз. Провайдердің сериялық немесе VNC сессиясы бар веб-консолі — біреуі. Бөлек желідегі әкімшілік интерфейс — екіншісі. Физикалық қатынас — үшіншісі, және адамдар оның жоқтығын ең нашар сәтте біледі.
| Path | Depends on | Usually fails when |
|---|---|---|
| Provider console | Account access and the provider's own API | Credentials live in a wiki only reachable over the tunnel |
| Management subnet | A second interface and its own routing | The bad change was a global route or firewall policy |
| Second tunnel | A different listener, port and credentials | Both listeners were changed in the same edit |
| Physical or local console | Being in the building | Nobody has been in the building for a year |
Үшінші бағанды абстракция емес, ақаулар тізімі ретінде оқыңыз. Осы жолдардың екеуі әдетте бір себептен істен шығады. Кесте — үзіліс сізге түсіндірмей тұрып мұны байқаудың тәсілі.
Тәуелсіздік — тәуелділіктер туралы мәселе
Қалпына келтіру тіркелгісі тәуелсіз емес, егер оның құпия сөзі туннель арқылы жететін қызметте сақталса. Сол хостта, сол портта және сол брандмауэр саясатындағы екінші VPN да тәуелсіз емес, өйткені біріншісін бұзған өзгеріс екеуін де бұзады.
Тізбек бойымен төмен түсіп, әр қадамға не қажет екенін атаңыз. Желілік қолжетімділік, атауларды шешу, аутентификация көзі және әкімшілік қызметтің өзі — төрт бөлек тәуелділік, ал олардың кез келгенін бөлісетін жол сол ақауды мұра етеді.
Ешқашан сыналмаған жол өз күмәніне лайық. Айлар бойы ашылмаған консоль электрондық пошта арқылы құпия сөзді қалпына келтіруді талап етуі мүмкін, ал сол пошта жәшігі сіз жете алмайтын машинада орналасуы мүмкін. Барлығы жұмыс істеп тұрғанда жолды сынап көріңіз, сонда мұны тыныш түстен кейін табасыз.
Екінші жолды бір бақыланатын өзгеріс үшін пайдаланыңыз
Консольден суретке түсіріңіз немесе өңдейін деп отырған конфигурацияны көшіріңіз. Бір нәрсені өзгертіңіз. Қызметті қайта жүктеп, басқа нәрсеге қол тигізбей тұрып нәтижені оқыңыз, өйткені бір уақытта екі өзгеріс қалпына келтіруді экспериментке айналдырады.
Мұны жасап жатқанда қалпына келтіру сессиясын ашық ұстаңыз. Екінші жолдың бүкіл құндылығы — ол өзгертіп жатқан нәрсеңізден аман қалады, сондықтан оны бірінші жабу оны пайдалы еткен жалғыз қасиетті жояды.
Жадыдан емес, қалпына келтіру жолынан тексеріңіз
Маңызды тексеріс — қалыпты жолдың қайта оралуы, ал қалпына келтіру сессиясы — мұны ретімен растайтын орын:
systemctl status openvpn-server@server --no-pager ss -lntup | grep -E ':(1194|443)\b' nft list ruleset | sed -n '1,40p' journalctl -u openvpn-server@server --since '-10 min' --no-pager | tail -n 30
Алдымен қызмет күйін, содан кейін тыңдаушыны, содан кейін ережелерді, содан кейін журналды оқыңыз. Тыңдаушысыз жұмыс істеп тұрған қызмет қызмет конфигурациясына нұсқайды, ал қолжетімді ережелері жоқ тыңдаушы сүзгілеуге нұсқайды. Рет маңызды, өйткені әр қадам келесісін тарылтады, ал журналға секіру әдетте себепті емес, симптомды сипаттайтын қателерді оқу дегенді білдіреді.
systemctl құжаттамасы осында қолданылатын күй мен қайта іске қосу тәртібін қамтиды, оның ішінде сәтсіз қайта жүктеу алдыңғы процесті қалай жұмыс істеп тұрған күйде қалдыратыны бар. Келісілген нұсқаны қалпына келтіру серверді жөндей алмайтын клиенттен қайта-қайта қосылудан жақсы. Егер өзгеріске дейін айқындалған кері қайтару шарты орындалса, қалпына келтіріп, тоқтаңыз.
Тізімді өзекті ұстаңыз
Адамдар немесе инфрақұрылым өзгергенде қатынас тізімін қарап шығыңыз. Барлығы жұмыс істеп тұрғанда қалпына келтіру жолын сынаңыз. Соңғы қайта ұйымдастырудан бері ешкім пайдаланбаған тіркелгілерді жойыңыз. Екі ескірген тіркелгі мен бір мерзімі өткен сертификат — сейсенбіде шағын тазалау, жексенбіде үзіліс.
Әр жолды кім пайдалана алатынын, ол неге рұқсат беретінін және тіркелгі деректері қалай ауыстырылатынын жазып қойыңыз. Иесіз қалпына келтіру жолы ұмытылған кіреберіске айналады, бұл сыртта құлыпталудан басқа ақау түрі.