GCE VPN 변경 전에 시리얼 복구 경로를 준비하세요

Compute Engine VM에서 VPN 경로를 변경하면 잠겨 나갈 수 있습니다. 경로를 건드리기 전에 클라우드 권한, 시리얼 출력, 게스트 로그인을 증명하세요.

같은 인터페이스의 두 번째 SSH 창은 복구 경로가 아닙니다. 변경하려는 경로, 방화벽 규칙, 데몬을 공유하기 때문에 필요한 바로 그 순간에 실패합니다. Compute Engine VM에서 VPN 경로를 편집하기 전에 시리얼 콘솔을 사용할 수 있는지, 그 출력을 읽을 수 있는지, 게스트가 실제로 로그인을 제공하는지 세 가지를 따로 증명하세요. 아래 점검은 그 순서대로, 가장 저렴한 것부터 실행되므로 빠진 권한이 중요해지기 전에 발견됩니다.

1단계: 클라우드 측 권한 확인

정확한 VM, 프로젝트, 영역을 지정한 다음 조직이 승인한 시리얼 액세스 정책을 확인하세요. 관리자에게 해당 권한이 필요하며, 시행 중인 프로젝트와 조직 제어 아래에서 그 인스턴스의 대화형 시리얼 액세스가 활성화되어 있어야 합니다.

머신 하나를 준비하려고 조직 정책을 약화시키거나 프로젝트 전체에서 콘솔 액세스를 켜지 마세요. 실험 전에 허용된 메커니즘을 마련해 달라고 소유자에게 요청하고, 장애 중에 요청하지 마세요.

2단계: 출력을 읽을 수 있음을 증명

시리얼 출력 읽기는 가장 저렴한 점검이며, 게스트 로그인을 건드리지 않고 전송을 연습합니다:

gcloud compute instances get-serial-port-output VM_NAME \
    --project PROJECT_ID --zone ZONE --port 1

식별자를 바꾸고 허용된 포트를 사용하세요. 부팅 메시지와 콘솔 잡담은 채널이 작동함을 알려 줍니다. 그러나 shell을 얻을 수 있음은 증명하지 않습니다. 그래서 이 단계는 다음 단계와 분리되어 있습니다.

3단계: 대화형 로그인을 얻을 수 있음을 증명

연결 명령은 미리보기가 아니라 실제 세션을 엽니다:

gcloud compute connect-to-serial-port VM_NAME \
    --project PROJECT_ID --zone ZONE --port 1

라이브 콘솔로 취급하세요. 모든 키 입력이 인스턴스에 도달하므로 자격 증명을 입력하기 전에 엔드포인트를 확인하세요.

여기서 완벽해 보이던 계획이 무너집니다. 클라우드 권한은 하나의 경계이고 Linux 로그인 프롬프트는 또 다른 경계이며, 첫 번째를 통과해도 두 번째에 대해서는 아무것도 알 수 없습니다.

4단계: 게스트가 받아들일 자격 증명 준비

Google이 제공하는 Linux 이미지는 기본적으로 로컬 비밀번호 기반 로그인을 활성화하지 않습니다. 따라서 시리얼 세션은 로그인 프롬프트에 도달한 뒤 아무도 설정하지 않은 자격 증명을 기다리며 그 자리에 멈출 수 있습니다.

승인된 복구 계정이나 배포에서 사용하는 문서화된 게스트 로그인 방식이 존재하고 테스트되어야 합니다. 네트워크에서 작동하는 SSH 키가 콘솔 비밀번호 프롬프트를 자동으로 충족하지는 않으므로, 이 사례를 포함한다고 가정하지 말고 실제 OS Login과 키 구성을 확인하세요.

복구 자격 증명은 비공개로 유지하세요. 공개 startup-script 예시에 붙여 넣은 root 비밀번호는 일어나기를 기다리는 두 번째 사고입니다.

5단계: 소유자와 롤백 기록

무엇이든 변경하기 전에 작동하는 네트워크 구성을 보존하고, 누가 관리하는지, 어떤 VPN 서비스가 관련되는지, 롤백이 어떻게 수행되는지 적어 두세요. 작동하는 세션에서 현재 경로, 규칙, 서비스 상태를 캡처하세요.

콘솔은 프롬프트만 주기 때문에 그 기록이 복구 채널을 수리로 바꿉니다. 변경 전에 쓰고, 나중에 기억으로 쓰지 마세요. 위키에서 복사한 롤백은 롤백이 아닙니다. 버전 번호가 붙은 추측입니다.

6단계: 변경 후 검증

기존 SSH 세션은 새 세션을 차단하는 정책에서도 살아남을 수 있으므로 새 일반 관리 세션으로 테스트하세요. 그다음 변경한 VPN 동작을 별도로 테스트하세요.

두 점검이 모두 통과할 때까지 복구 채널을 열어 두고, 그 후 액세스 정책에 따라 닫으세요. SSH가 이미 끊겼고 콘솔 로그인도 준비하지 않았다면 시리얼 액세스를 안전망으로 취급하는 것을 멈추고 승인된 계정 복구 또는 인스턴스 복구 워크플로를 시작하세요. 다른 VM을 점프 호스트로 세워도 게스트 경로도, 빠진 자격 증명도 고쳐지지 않습니다.

관련 글