Алыстан өзгөртүүдөн мурун роутерди VPN кайтарууну кантип пландаштыруу керек

Сиз өзүңүздүн сеансыңызды өткөргөн туннелди түзөткөнү жатасыз, андыктан сизди куткарган иш өзгөртүүдөн кийин эмес, өзгөртүүгө чейин болот. Коопсуздук тармагы VPN бетинде жок: бул калыбына келтирүү экраны, консол же сиз түзөтүп жаткан түзмөк аркылуу өтпөгөн экинчи жол. Мен үчөөнү тең түзөтө турган бир роутер интерфейсинде пландап жатам жана баары иштеп турганда жолду бир жолу колдоном. Бул мен ээрчиген кадам, ирети менен.

Сизге керек болгонго чейин калыбына келтирүү агымын басыңыз

Өзгөртүүңүздү жокко чыгара турган баракты ачыңыз. pfSense боюнча Диагностика > Камдык көчүрмөнү сактоо жана калыбына келтирүү; OpenWrt боюнча бул Система > Камдык көчүрмөнү сактоо / Flash микропрограммасы; OPNsense боюнча бул Система > Конфигурация > Камдык көчүрмөлөр, ал ошондой эле файлсыз кайра кайтара турган мурунку версияларды сактайт. Сиз азырынча эч нерсени калыбына келтире элексиз. Сиз өзгөртүү учурунда ал барак сизде боло турган жолдон ачылабы же жокпу, ал кийин кайра жүктөөнү каалайбы же жокпу, жана башка микропрограмма релизинен жазылган архивди четке кагабы, текшерип жатасыз. Netgate өзүнүн экспортун документтештирип, агымын калыбына келтирет docs.netgate.com.

Калыбына келтирүү бүт конфигурацияны алмаштырат, андыктан бул бир эрежени жокко чыгаруу эмес. Архивде колдонуучулар, сертификаттар, VPN ачкычтары, брандмауэр эрежелери жана кимдер кире аларын чечүүчү администратор интерфейсинин жөндөөлөрү бар. Ошондуктан мен өзгөртүүгө чейин дароо экспорттоп, файлдын аталышын мен тийүүгө ниеттенген күнүм жана жалгыз жөндөө менен атайм. Бир айлык файлды калыбына келтирүү, ошондой эле бир айлык туннелди жана бир айлык ачкычты калыбына келтирет.

Эгерде платформа бир эле релиздеги архивдерди гана жүктөсө, азыр көңүл буруңуз: микропрограмманы жаңыртуу жана бир терезеде VPN түзөтүү сизде роутер кабыл албай турган файлды кармап калат.

Туннелден өтүүнүн жолун далилдеңиз

Ошол эле ноутбуктан ошол эле коомдук дарекке экинчи SSH сеансы экинчи жол эмес; экөө бирге өлүшөт. Көз карандысыз жол булардын бири: сериялык же KVM консолу, гипервизор же булут консолу, туннелдин артында болбогон хосттон жетүүгө мүмкүн болгон башкаруу VLANы, өзүнүн административдик эрежеси бар экинчи WAN же LTE модеми же сайттагы адам.

Маршрутизатор дени сак болгондо тандалган жолду текшериңиз. Анын үстүнөн кирип, VPN барагын ачып, сактоодон мурун токтотуңуз. Эгер кулпулоо эрежеси ага инструмент тактасына жетүүгө гана мүмкүнчүлүк берсе, сизде аны оңдоого дагы убакыт бар жана оңдоо эреженин тартибинде баш тартуу эрежесинин үстүндө отурушу керек.

Көпчүлүк роутерлер администратор кызматын интерфейске же даректер үй-бүлөсүнө байланыштырат, андыктан диапазондон тышкаркы каттам ошол кызмат уккан жерге келиши керек. Терезе үчүн байланышты кеңейтүү иштейт, бирок бул сиз көз каранды болгон жолду өзгөртүү.

Файлды экспорттоп, триггерди жазыңыз

Экспортту роутерден жана туннелин жоготуп алышы мүмкүн болгон машинадан жылдырыңыз. Маршрутизатордун файл тутумунда сакталган камдык көчүрмө сиз пландаштырып жаткан мүчүлүштүктө жок болуп кетет, ал эми туташуу мүмкүнчүлүгүн жогото турган ноутбукта отурган бирөө эптеп жакшыраак.

Бул файлды ишеним грамотасы катары караңыз. Ал жеке ачкычтарды, алдын ала бөлүшүлгөн сырларды, сертификаттык материалды жана сырсөз хэштерин камтыйт, андыктан аны шифрлаңыз же роутердин логининдегидей кылдаттык менен сактаңыз.

Андан кийин бир сүйлөмдү жазыңыз: эгер өзгөртүүдөн кийин N мүнөттүн ичинде PATHден жаңы башкаруу сессиясын ача албасам, FILEди калыбына келтирип, кайра жүктөйм. Сүйлөм масштабды бир өзгөрмөгө чейин түшүрөт. Маршрут, DNS жана брандмауэр менен бирге жасалган түзөтүүлөр тез сакталат жана дагы бир аракет болгондо экиге бөлүнөт.

Платформада таймерди колдонуңуз

Эгер сиз аны ырастай албасаңыз, бир нече платформа сиз үчүн өзгөртүүнү жокко чыгарат. Терминалда Ctrl+X менен киргизилген RouterOS Safe Mode, сеанс токтогондо ошол сессияда жасалган өзгөртүүлөрдү кайра кайтарат. Жунос ырасталбаган милдеттенмени артка кайтарат. Cisco IOS түгөйлөрү кайра жүктөө жокко чыгаруу менен кайра жүктөлөт. Ишкананын брандмауэрлери, адатта, автоматтык түрдө кайтаруу таймери менен күтүлүп жаткан өзгөрүүлөрдү сахналаштырат. OpenWrt жана көпчүлүк керектөөчү микропрограмманын эквиваленти жок, андыктан таймер тышкы болушу керек: пландаштырылган калыбына келтирүү, файлды кайра алмаштырып, кызматты кайра иштеткен cron жумушу же мурунку конфигурацияга кайра жүктөө.

Окшош аталган функция бир эле чөйрөнү камтыйт деп ойлобоңуз. Бир продукттун автоматтык түрдө кайтарылышы брандмауэр эрежелерин гана камтышы мүмкүн; башкасы толугу менен конфигурацияны камтышы мүмкүн, анын ичинде сиз өзүңүздү жеткиликтүү кылуу үчүн өзгөрткөн башкаруу эрежеси. Таймерге таянардан мурун, таймер эмнени кайтарарын окуп чыгыңыз.

Таймер экспорттолгон файлды алмаштыра албайт. Бул жерде эң маанилүү болгон учурда ал ишке ашпай калат: сессия аман калат, башкаруу планы жок жана эч нерсе эч качан артка кайтарууга түрткү бербейт.

Ачык эмес, жаңы туташууну сынап көрүңүз

Белгиленген сессия көбүнчө ар бир жаңы кол алышууга бөгөт койгон өзгөртүүлөр аркылуу иштей берет, анткени анын абалы мурунтан эле бар жана саясат байланыш түзүлгөндө бааланат. Өзгөртүүдөн кийин, алыскы тараптан жаңы байланыштарды түзүңүз: жаңы SSH сеансы, кардардан жаңы VPN кол алышуу, роутердин LAN дарегине кадимки барак жүктөө.

# run these from the remote machine, in a new shell
ssh -o ConnectTimeout=8 admin@"$ROUTER_WAN"
nc -vz "$ROUTER_WAN" 443
dig +short example.internal "@$ROUTER_LAN"

Андан кийин туннелдин өзүнө эмес, ылдый жагына сынап көрүңүз: аталыштын чечилиши, ички кызматка TCP байланышы жана сиз чындап колдонгон тиркеме. Колдонууга жарамдуу DNS орноткон, бирок аны чыгарбаган туннель кардар абалында дени сак жана браузерде бузулган көрүнөт жана бул айырма сиз файлды калыбына келтиресизби же бир эрежени оңдойсузбу деп чечет.

Мажбурлап ажыратуу жана кайра туташтыруудан кийин кайталаңыз, эгер платформа жүктөлүүдө абалды кайра колдонсо, кайра жүктөөдөн кийин дагы бир жолу кайталаңыз. Кээ бир конфигурациялар ар бир жандуу сыноодон өтүп, жаңы эрежелер менен биринчи жүктөөдө ийгиликсиз болот.

Терезе үчүн ачкан эшиктерди жабыңыз

Убактылуу каалаган булактан турган администратор эрежесин, ыргытуучу каттоо эсебин, кеңейтилген байланышты, уруксат берүүчү DNS эрежесин жана мүчүлүштүктөрдү оңдоо журналын алып салыңыз. Бул алып салуу өзү сиз көз каранды болгон жолдун өзгөрүшү, андыктан андан кийин жаңы туташуу сынагын алыскы тараптан кайра иштетиңиз.

Экспорттолгон файлды өзгөртүү өчүрүлүп күйгүчө жана чыныгы кардар кайра туташмайынча сактаңыз, андан кийин терезе ачык турганда бөлүшкөн нерселердин баарын айлантыңыз. Кийинки жүктөөгө чейин иштей турган конфигурация бир жумадан кийин роутерди жоготуунун тынч жолу, качан эч ким кайсы эреже убактылуу болгонун эстей албайт.

Өзгөрүүнү кийинки адам кайда карап жатканын жазыңыз: эмне жылдырылды, кайсы файл аны жокко чыгарат, консолго кайсы жол жетет жана кайсы эреже убактылуу болгон.

VPN барагын ачардан мурун, төрт нерсе болушу керек: сиз сынаган калыбына келтирүү агымы, сиз далилдеген экинчи жол, сиз чындап жете ала турган экспорттолгон файл жана жазылган триггер. Эгер кимдир бирөө жок болсо, адегенде аны оңдоңуз. өзгөртүү бир саат күтө алат; локаут мүмкүн эмес.