VPN серверинин конфигурациясын коопсуз түрдө артка кайтаруу

Серверди артка кайтаруу — кайсы катмар иштебей калганы тууралуу чечим, файлдарды көчүрүү көнүгүүсү эмес. Конфигурация, ыйгарым укуктар жана пакет версиялары өзүнчө сааттар менен жүрөт, бирөөнү калыбына келтирип, калгандары учурда турганда соо көрүнгөн, бирок туруксуз иштеген хост пайда болот. Төмөнкү тартип өзгөртүү мурун эле ката кеткенин болжолдоп, эң кичине шайкеш абалды калыбына келтирүүнү суранат. Аны ирети менен аткарыңыз жана тилкеден тышкаркы кирүүнү текшерүүнү эч ким өткөрүп жибербеши керек болгон кадам деп эсептеңиз.

Чындап калыбына келтире ала турган көзөмөл чекитин түзүңүз

Кызмат иштөө учурунда окуган конфигурацияны, аны акыркы жолу талдаган версия менен бирге жазыңыз. Эски чыгарылышта таза жүктөлгөн файл жаңыртуудан кийин четке кагылышы же үнсүз элебей калышы мүмкүн, ошондуктан версия ошол эле жазууга таандык. Конфигурация шилтеме кылган материалды да кошуңуз: жеке ачкычтар, сертификат жолдору, угуучулардын аныктамалары жана кызматты жеткиликтүү кылган DNS менен өрт дубалынын жазуулары. Эгер калыбына келтирүүгө сактабаган файлыңыз керек болсо, көзөмөл чекити толук эмес.

Система азырын сак турганда ар бир жөндөөнүн ээсин атаңыз. Провайдердин панели орноткон маршрут, хосттун өрт дубалы кошкон маршрут жана кардарларга жөнөтүлгөн маршрут — үч башка объект, жана туура эмесин калыбына келтирүү калган экөөнү ордунда калтырат. Жөндөө, ээси жана файл жолу көрсөтүлгөн кыска таблица жетиштүү.

Жокко чыгарууларды конфигурациядан өзүнчө кармаңыз

Эски конфигурация атайын алып салган түзмөгүңүздү үнсүз кайра туташтырышы мүмкүн, бул калыбына келтирүүнү коопсуздук артка чегинүүсүнө айландырат. Тармактык саясатты калыбына келтирип жатканда учурдагы жокко чыгаруу тизмесин жана өчүрүлгөн эсептерди сактаңыз, анан кызмат кардарларды кабыл алардан мурун аларды кайра колдонуңуз.

Инсандык абалын өз далилдери бар өзүнчө кайтаруу катары караңыз. Сертификатты жокко чыгаруу файлдары, эсепти өчүрүү жана MFA каттоо демон конфигурациясы менен бир жерде сейрек болот, жана конфигурацияны калыбына келтирүү аларга тийбейт. Эмне сакталышы керектигин билүү үчүн адегенде учурдагы абалды текшериңиз. Калыбына келтиргенден кийин алынган инсандык дагы эле туташа албасын ырастаңыз.

Туннель иштебей калганда хостко жетиңиз

Өзгөртүлүп жаткан компонентке көз каранды эмес жол ачыңыз. Гипервизор консолу, өзүнчө интерфейстеги башкаруу дареги же сериялык консоль — баары ылайыктуу; туннелден өткөн SSH сессиясы ылайыктуу эмес. Эгер кирүүнүн жалгыз жолу кайра иштетмекчи болгон VPN болсо, туура эмес маршрут же өрт дубалынын эрежеси аны оңдоо мүмкүнчүлүгүңүздү тартып алат. Альтернатива жолду өзгөртүүгө чейин сынаңыз, кийин эмес. Ал аркылуу бир жолу кирип, sudo иштээрин ырастаңыз жана колдонгон так даректи жазып алыңыз.

Сыноо жөнөкөй: альтернатива жол менен туташкан бойдон туннелди түшүрүп, сессия сакталабы же жокпу караңыз. Эгер үзүлсө, сизди кыспай туруп эле бузулушту таптыңыз.

Бир редакцияны колдонуңуз жана ал качан күчүнө кирерин билиңиз

Кызматтын reload же restart документтерин колдонуп, кайсы директивалар кайсы учурда окуларын аныктаңыз. Айрым маанилер reload учурунда колдонулат, башкалары жаңы сессия же процесс башталганда гана, ошондуктан файлды оңдоо иштеп жаткан абал жөнүндө эч нерсе далилдебейт. Жаңы файлды эски аткаруу абалына аралаштыруунун ордуна бир редакцияны калыбына келтириңиз. Күмөн болсо, кызматты толук кайра иштетүү жарым-жартылай reload-га караганда оңой түшүндүрүлөт.

Тандоодон мурун бирдиктин аныктамасын текшериңиз: systemctl show -p ExecReload openvpn@server reload илгичинин бар-жогун айтат. Анан редакцияны колдонуп, башка эч нерсени өзгөртүүдөн мурун журналдан алгачкы жаңы каталарды окуңуз.

Текшериңиз, жазып алыңыз жана кийин изилдеңиз

Бир уруксат берилген кардарды туташтырып, кызматтын эмне үчүн экенин сынаңыз: атты чечүү, кайра туташуу жана иштебей калган колдонмо. Жокко чыгарылган инсандык дагы эле четке кагылаарын ырастаңыз. Калыбына келтирген редакцияны, убакытты жана себепти жазыңыз, анткени кийинки операторго үчөө тең керек. Эч ким документтештирбеген кайтаруу кызмат кийинки жолу жаман иштегенде сырга айланат.

systemctl status openvpn@server --no-pager
journalctl -u openvpn@server -n 50 --no-pager

Кызмат турукташкандан кийин, иштебей калган өзгөртүүнү таштай ала турган хостто же сүрөттө кайталаңыз. Бул жаман конфигурацияны жаман пакеттен же мөөнөтү өткөн сертификаттан ажыратат. Калыбына келтирилген конфигурацияны версия көзөмөлүндө кармаңыз, кийинки көзөмөл чекити белгилүү commit-тен башталсын. Көнүгүүнүн максаты — документтештирилген акыркы чекит, туруктуу төмөндөтүү эмес.