VPN сервериңизден сыртта камалып калдыңыз: кирүүнүн экинчи жолун сактап коюңуз
Бузулган туннель серверди оңдоо мүмкүнчүлүгүңүздү да алып кетпеши керек. Ага муктаж болоордон мурун көз карандысыз административдик жолду пландап, сынап, карап чыгыңыз.
Консолду ачасыз, бир брандмауэр эрежесин өзгөртөсүз, жана туташкан туннелиңиз жоголот. Өзгөртүү туура болду, кайра жүктөө туура болбоду, эми машинага кайтуучу жалгыз жол — жаңы эле бузганыңыз. Кирүүнүн экинчи жолу — дизайн чечими жана ал тыныгууга чейин болушу керек, тыныгуу учурунда эмес.
Колуңузда эмне калганын карап чыгыңыз
Алдыңыздагы консол экранынан баштап, туннелге көз каранды эмес жолдорду тизмелеңиз. Провайдердин сериялык же VNC сессиясы бар веб-консолу — бири. Өзүнчө тармактагы административдик интерфейс — экинчиси. Физикалык кирүү — үчүнчүсү, жана адамдар анын жоктугун эң жаман учурда билишет.
| Path | Depends on | Usually fails when |
|---|---|---|
| Provider console | Account access and the provider's own API | Credentials live in a wiki only reachable over the tunnel |
| Management subnet | A second interface and its own routing | The bad change was a global route or firewall policy |
| Second tunnel | A different listener, port and credentials | Both listeners were changed in the same edit |
| Physical or local console | Being in the building | Nobody has been in the building for a year |
Үчүнчү тилкени абстракция эмес, бузулуулардын тизмеси катары окуңуз. Ошол жолдордун экөө адатта бир себептен иштебей калат. Кесте — тыныгуу сизге түшүндүрө электе муну байкоонун жолу.
Көз карандысыздык — көз карандылыктар жөнүндө маселе
Калыбына келтирүү эсеби көз карандысыз эмес, эгер анын сырсөзү туннель аркылуу жетүүчү кызматта сакталса. Ошол эле хосттогу, ошол эле порттогу жана ошол эле брандмауэр саясатындагы экинчи VPN да көз карандысыз эмес, анткени биринчисин бузган өзгөртүү экөөнү тең бузат.
Чынжыр бою төмөн түшүп, ар бир кадамга эмне керек экенин атаңыз. Тармактык жеткиликтүүлүк, аттарды чечмелөө, аутентификация булагы жана административдик кызматтын өзү — төрт өзүнчө көз карандылык, ал эми алардын кайсынысын болбосун бөлүшкөн жол ошол бузулушту мураска алат.
Эч качан сыналбаган жол өзүнүн шегине татыктуу. Айлар бою ачылбаган консол электрондук почта аркылуу сырсөздү кайра коюуну талап кылышы мүмкүн, ал эми ошол почта кутусу сиз жете албаган машинада болушу мүмкүн. Баары иштеп турганда жолду сынап көрүңүз, жана муну тынч түштөн кийин табасыз.
Экинчи жолду бир көзөмөлдөнгөн өзгөртүү үчүн колдонуңуз
Консолдон сүрөт тартып алыңыз же түзөтө турган конфигурацияны көчүрүңүз. Бир нерсени өзгөртүңүз. Кызматты кайра жүктөп, башка нерсеге тийүүдөн мурун натыйжаны окуңуз, анткени бир убакта эки өзгөртүү калыбына келтирүүнү экспериментке айландырат.
Муну жасап жатканда калыбына келтирүү сессиясын ачык кармаңыз. Экинчи жолдун бүт баалуулугу — ал өзгөртүп жаткан нерсеңизден аман калат, ошондуктан аны биринчи жабуу аны пайдалуу кылган жалгыз касиетти жок кылат.
Эстен эмес, калыбына келтирүү жолунан текшериңиз
Маанилүү текшерүү — кадимки жолдун кайтып келиши, ал эми калыбына келтирүү сессиясы — муну ирети менен ырастоочу жай:
systemctl status openvpn-server@server --no-pager ss -lntup | grep -E ':(1194|443)\b' nft list ruleset | sed -n '1,40p' journalctl -u openvpn-server@server --since '-10 min' --no-pager | tail -n 30
Алгач кызматтын абалын, андан кийин угуучуну, андан кийин эрежелерди, андан кийин журналды окуңуз. Угуучусуз иштеп жаткан кызмат кызмат конфигурациясын көрсөтөт, ал эми жеткиликтүү эрежелери жок угуучу чыпкалоону көрсөтөт. Ирет маанилүү, анткени ар бир кадам кийинкисин куушурат, ал эми журналга секирүү адатта себепти эмес, симптомду сүрөттөгөн каталарды окууну билдирет.
systemctl документтери ушул жерде колдонулган абал жана кайра баштоо жүрүм-турумун камтыйт, анын ичинде ийгиликсиз кайра жүктөө мурунку процессти иштеп турган бойдон калтырары да бар. Ырааттуу редакцияны калыбына келтирүү серверди оңдой албаган кардардан кайра-кайра туташуудан жакшы. Эгер өзгөртүүгө чейин белгиленген артка кайтаруу шарты аткарылса, калыбына келтирип, токтоңуз.
Тизмени актуалдуу кармаңыз
Адамдар же инфраструктура өзгөргөндө кирүү тизмесин карап чыгыңыз. Баары иштеп турганда калыбына келтирүү жолун сынаңыз. Акыркы кайра уюштуруудан бери эч ким колдонбогон эсептерди жоюңуз. Эки эскирген эсеп жана бир мөөнөтү бүткөн сертификат — шейшембиде кичине тазалоо, жекшембиде тыныгуу.
Ар бир жолду ким колдоно аларын, ал эмнеге уруксат берерин жана каттоо маалыматтары кантип алмаштырыларын жазып коюңуз. Ээси жок калыбына келтирүү жолу унутулган кире берүүгө айланат, бул сыртта камоодон башка бузулуу түрү.