원격 변경 전 라우터 VPN 롤백을 계획하는 방법

귀하는 자신의 세션을 전달하는 터널을 편집하려고 하므로 귀하를 구하는 작업은 변경 후의 스크램블 도중이 아니라 변경 이전에 발생합니다. 안전망은 VPN 페이지에 있는 것이 아닙니다, 복원 화면, 콘솔 또는 편집 중인 장치를 통과하지 않는 두 번째 경로입니다. 편집하려는 동일한 라우터 인터페이스에서 세 가지 모두를 계획하고 모든 것이 여전히 작동하는 동안 해당 경로를 한 번 사용합니다. 이것은 내가 따르는 연습입니다.

필요하기 전에 복원 흐름을 살펴보세요

변경 사항을 취소할 페이지를 엽니다. 진단 > 백업 및 복원인 pfSense에서; OpenWrt에서는 시스템 > 백업/플래시 펌웨어입니다, OPNsense에서는 시스템 > 구성 > 백업이며, 파일 없이 되돌릴 수 있는 이전 개정도 유지합니다. 아직 아무것도 복원하지 않습니다. 변경 중에 갖게 될 경로에서 해당 페이지가 열리는지, 나중에 재부팅을 원하는지, 다른 펌웨어 릴리스에서 작성된 아카이브를 거부하는지 여부를 확인하고 있습니다. Netgate는 docs.netgate.com에서 자체 내보내기 및 복원 흐름을 문서화합니다.

복원은 전체 구성을 바꾸므로 하나의 규칙을 실행 취소할 수 없습니다. 아카이브에는 사용자, 인증서, VPN 키, 방화벽 규칙 및 로그인할 수 있는 사람을 결정하는 관리 인터페이스 설정이 포함되어 있습니다. 그렇기 때문에 변경 직전에 내보내고 날짜와 내가 만지려는 단일 설정으로 파일 이름을 지정합니다. 한 달 된 파일을 복원하면 한 달 된 터널과 한 달 된 키도 복원됩니다.

플랫폼이 동일한 릴리스의 아카이브만 로드하는 경우 지금 주의하십시오, 한 창에서 펌웨어 업그레이드와 VPN 편집을 수행하면 라우터가 허용하지 않는 파일이 보관됩니다.

터널을 건너뛰는 방법을 증명하세요

동일한 노트북에서 동일한 공개 주소로의 두 번째 SSH 세션은 두 번째 경로가 아닙니다, 둘 다 함께 죽는다. 독립 경로는 직렬 또는 KVM 콘솔, 하이퍼바이저 또는 클라우드 콘솔, 터널 뒤에 있지 않은 호스트에서 연결할 수 있는 관리 VLAN, 자체 관리 규칙이 있는 두 번째 WAN 또는 LTE 모뎀 또는 현장에 있는 사람 중 하나입니다.

라우터가 정상일 때 선택한 경로를 테스트합니다. 그 위에 로그인하고 VPN 페이지를 열고 저장하기 전에 중지하세요. 잠금 규칙이 대시보드에만 도달하도록 허용하는 경우 아직 문제를 해결할 시간이 있으며 수정 사항은 규칙 순서에서 거부 규칙보다 위에 있어야 합니다.

대부분의 라우터는 관리 서비스를 인터페이스나 주소 계열에 바인딩하므로 대역 외 경로는 해당 서비스가 수신하는 곳에 도착해야 합니다. 창 바인딩을 넓히는 것은 효과가 있지만 그 자체로 의존하는 경로가 변경됩니다.

파일 내보내기 및 트리거 작성

내보내기를 라우터 밖으로 이동하고 터널이 손실될 수 있는 시스템 밖으로 이동합니다. 라우터 파일 시스템에 저장된 백업은 정확히 계획한 오류로 사라지고, 연결이 끊어지려는 노트북에 있는 백업은 거의 나을 수 없습니다.

해당 파일을 자격 증명으로 취급. 여기에는 개인 키, 사전 공유 비밀, 인증서 자료, 비밀번호 해시가 포함되어 있으므로 라우터 로그인과 마찬가지로 주의하여 암호화하거나 저장하세요.

그런 다음 한 문장을 작성합니다, 변경 후 N분 이내에 [[PATH]]에서 새 관리 세션을 열 수 없으면 [[FILE]]을 복원하고 재부팅합니다. 문장은 범위를 하나의 변수로 강제합니다. 함께 커밋된 경로, DNS 및 방화벽 편집 내용은 한 번 더 시도할 때 빠르게 저장되지만 이등분되는 속도는 느립니다.

플랫폼에 커밋 타이머가 있는 경우 커밋 타이머를 사용하세요

확인하지 않으면 여러 플랫폼에서 변경 사항이 취소됩니다. 터미널에서 Ctrl+X를 사용하여 입력한 RouterOS 안전 모드는 세션이 중단될 때 해당 세션에서 변경된 내용을 되돌립니다. Junos는 확인되지 않은 커밋을 롤백합니다. Cisco IOS 쌍은 다시 로드 취소와 함께 다시 로드됩니다. 기업 방화벽은 일반적으로 자동 되돌리기 타이머를 사용하여 보류 중인 변경 사항을 준비합니다. OpenWrt와 대부분의 소비자 펌웨어에는 이에 상응하는 것이 없으므로 타이머는 예약된 복원, 파일을 다시 교체하고 서비스를 다시 시작하는 cron 작업 또는 이전 구성으로 재부팅하는 외부 타이머여야 합니다.

유사한 이름의 기능이 동일한 범위를 포괄한다고 가정하지 마십시오. 한 제품의 자동 되돌리기에는 방화벽 규칙만 적용될 수 있습니다, 다른 하나는 연결을 유지하기 위해 방금 변경한 관리 규칙을 포함하여 전체 구성을 포함할 수 있습니다. 타이머에 의존하기 전에 타이머가 무엇을 되돌리는지 읽어보세요.

타이머는 내보낸 파일을 대체할 수 없습니다. 여기서 가장 중요한 경우에는 실패합니다, 즉, 세션은 유지되지만 관리부는 유지되지 않으며 아무것도 되돌리기를 트리거하지 않습니다.

개방형 연결이 아닌 새로운 연결을 테스트해 보세요

설정된 세션은 모든 새로운 핸드셰이크를 차단하는 변경을 통해 계속 작동하는 경우가 많습니다, 해당 상태가 이미 존재하고 연결이 생성될 때 정책이 평가되기 때문입니다. 변경 후에는 원격 측에서 새 연결을 만듭니다, 즉, 새로운 SSH 세션, 클라이언트의 새로운 VPN 핸드셰이크, 라우터 LAN 주소로의 일반 페이지 로드 등이 있습니다.

# run these from the remote machine, in a new shell
ssh -o ConnectTimeout=8 admin@"$ROUTER_WAN"
nc -vz "$ROUTER_WAN" 443
dig +short example.internal "@$ROUTER_LAN"

그런 다음 터널 자체가 아닌 터널의 다운스트림(이름 확인, 내부 서비스에 대한 TCP 연결, 실제로 사용하는 애플리케이션)을 테스트합니다. 사용 가능한 DNS를 설정했지만 사용 가능한 DNS를 전달하지 않는 터널은 클라이언트 상태에서 정상으로 보이고 브라우저에서 손상되었으며, 그 차이에 따라 파일을 복원할지 아니면 규칙 하나를 수정할지 결정됩니다.

강제 연결 해제 후 다시 연결하고, 플랫폼이 부팅 시 상태를 다시 적용하는 경우 재부팅 후 한 번 더 반복합니다. 일부 구성은 모든 라이브 테스트를 통과하고 새 규칙을 적용한 첫 번째 부팅에서 실패합니다.

창문으로 열어두었던 문을 닫아라

임시 모든 소스 관리 규칙, 일회용 계정, 확장된 바인딩, 허용되는 DNS 규칙 및 디버그 로깅을 제거합니다. 제거 자체가 의존하는 경로에 대한 변경이므로 원격 측에서 새로 연결 테스트를 다시 실행하세요.

재부팅 후에도 변경 사항이 유지되고 실제 클라이언트가 다시 연결될 때까지 내보낸 파일을 보관한 다음 창이 열려 있는 동안 공유한 모든 항목을 회전합니다. 다음 부팅까지 작동하는 구성은 어떤 규칙이 일시적인지 기억하지 못하는 일주일 후 라우터를 잃어버리는 조용한 방법입니다.

다음 사람이 보는 변경 사항(이동한 항목, 실행 취소한 파일, 콘솔에 도달하는 경로, 임시 규칙)을 기록해 두세요.

VPN 페이지를 열기 전에 테스트한 복원 흐름, 입증한 두 번째 경로, 실제로 접근할 수 있는 내보낸 파일, 작성된 트리거라는 네 가지 항목이 있어야 합니다. 누락된 항목이 있으면 먼저 수정하세요. 변경 사항은 한 시간 정도 걸릴 수 있습니다, 잠금은 불가능합니다.