VPN серверинин көзөмөлсүз жаңыртуулары текшерилген калыбына келтирүү жолун талап кылат
Жаңыртуу серверге жетүү үчүн колдонгон кызматтын өзүн кайра баштоого мүмкүн. Автоматташтыруудан мурун сырткы консолду туннел аркылуу гана калыбына келтирүү планы менен салыштырыңыз.
Көзөмөлсүз жаңыртуулар өзүнүн VPN аркылуу жеткен сервер үчүн акылга сыярлык саясат, жана ошол эле учурда өзүңүз жараткан жалгыз ишке жарабастык чекити. Пакет операциясы кызматты кайра баштайт, туннел кулайт, жана сиз колдонгон административдик жол аны менен кошо жоголот. Калыбына келтирүүнүн эки модели бар, жана алардын ортосундагы тандоо бир шартка байланыштуу: сизде жаңыртылып жаткан нерседен өтпөгөн кирүү жолу барбы.
Эки калыбына келтирүү модели, бир чечүүчү шарт
Биринчи модель жаңыртууга ишенет жана андан кийин кайра туташа аласыз деп болжолдойт. Ал VPN хостко жетүүнүн бир нече жолунун бири болгондо жана туннелдин ишке жарабастыгы аны диагностикалоо жөндөмүңүздү жок кылбаганда иштейт. Экинчи модель алдын ала көз карандысыз жолду, адатта хостинг провайдеринин консолун жайгаштырат жана туннелди техникалык тейлөө бузушу ыктымал нерсе катары карайт. Эки модель тең коргоого болот, жана алардын бирөө гана алдын ала ишти талап кылат.
Чечүүчү шартты айтуу оңой жана аны өткөрүп жиберүү да оңой. Эгер машинага барган бардык административдик жол жаңыртылып жаткан кызматтан өтсө, сизде калыбына келтирүү модели такыр жок, бир гана күтүү бар. Муну өзгөртүү кароосунда үнүңүздү чыгарып айтыңыз.
Бул шартты текшерүү он мүнөт алат жана ал биринчи көзөмөлсүз жаңыртууга чейин болушу керек, окуя учурунда эмес. Баары иштеп турганда консолду ачыңыз, эсептик маалыматтар күчүндө экенин ырастаңыз жана кайра жабыңыз. Консол сиз ойлогон хостко ачылаарын ырастаңыз. Андан кийин түнү саат 3тө чындап колдоно турган кирүүңүз дагы эле иштеп жатканын ырастаңыз.
Акыркы бөлүк угулганынан да маанилүү. Сырсөзү алты ай мурун алмаштырылып, эч качан текшерилбеген консол эсеби калыбына келтирүү жолу эмес; ал ушундай жолду сүрөттөгөн документ.
Камдык көчүрмө эмнени калыбына келтирбейт
Конфигурация архиви файлдардын жазуусу, жана жаңыртуу файлдардан көбүрөөк нерсени өзгөртөт. Пакет абалы, өзөк модулдары, күйгүзүлгөн бирдик шилтемелери жана өзүнчө курал менен колдонулган брандмауэр эрежелери конфигурация папкасынын сыртында жашайт, жана аларды этибарга албаган калыбына келтирүү конфигурацияланган көрүнгөн жана өткөрбөгөн машина жаратат.
| What changed | Restored by a configuration backup | Needs its own action |
|---|---|---|
| Service unit or startup ordering | Partly, if the unit file was included | Package state and enabled links |
| Kernel module or interface support | No | Kernel or module rollback, or a boot-time decision |
| Peer or device authorization | Only if the backup predates the revocation | A deliberate decision about which peers return |
| Firewall rules applied outside the config | Only if they were captured | Replaying and verifying each rule |
Авторизация өз сабына татыктуу. Бузулган түзмөктү алып салуудан мурун алынган көчүрмө ошол түзмөктүн жетүү мүмкүнчүлүгүн кубаныч менен калыбына келтирет. Үзгүлтүк учурунда ага кайтуу бир окуяны экиге айландырган жол, жана калыбына келтирүү чечими өнөктөштөр жөнүндө файлдар жөнүндө канчалык ачык болсо, ошончолук ачык кабыл алынышы керек.
Кайтаруу механизми да маанилүү. Эски аткарылуучу файлды пакет менен башкарылуучу файлдын үстүнө көчүрүү пакет өзгөртүүсүнүн колдоого алынган кайтарылышы эмес, жана пакет маалымат базасын файлдык система туура келбеген абалды сүрөттөөгө калтырат. Пакет менеджеринин өзүнүн төмөндөтүү жолун же провайдер сунуш кылган сүрөттү колдонуңуз. Пакет маалымат базасы жаза турган төмөндөтүүнү кайталасаңыз болот.
Булардын эч бири камдык көчүрмөлөргө каршы эмес. Бул ар бир артефакт кайсы катмарды жапканын билүүнүн пайдасына, анткени жарым-жартылай калыбына келтирүүнүн ишке жарабастык ыкмасы баштапкы үзгүлтүктөн да татаал. Runbook-та ар бир көчүрмөнүн жанына катмарды жазыңыз.
Көзөмөл чекити, жаңыртуу, анан сырттан текшерүү
Өзгөртүүгө чейинки абалды кийин салыштыра алгыдай формада жазыңыз: орнотулган версиялар, тиешелүү кызмат бирдиктери, угуп жаткан сокеттер жана учурдагы өнөктөштөр тизмеси. Linux хостто төрт буйрук анын көбүн камтыйт.
systemctl list-units --type=service | grep -E 'openvpn|wg-quick'
ss -lunp | grep -E ':51820|:1194'
journalctl -u wg-quick@wg0 --since '-10 min'Биринчиси кайсы бирдиктер бар жана алар иштеп жатабы аны көрсөтөт, экинчиси угуучу чын эле байланганын ырастайт, үчүнчүсү акыркы мүнөттөр тууралуу кызматтын өз баянын берет. Алардын эч бири кардар туташа алаарын далилдебейт, ошондуктан кийинки кадам хосттун сыртында болот. Ошол окууларды салыштыруу негизи катары сактаңыз.
Туннелди колдонбогон тармактан текшериңиз: бир уруксат берилген кардарды аутентификациялаңыз, атты чечиңиз жана бир максаттуу колдонмого жетиңиз. Интерфейс көтөрүлгөнү тууралуу жергиликтүү статус сабы интерфейс жөнүндө билдирүү, маршруттоо, ачкычтар же өнөктөштү кабыл алган саясат жөнүндө эмес.
Андан кийин кайра туташуу жолун атайын сынап көрүңүз. Кызматты бир жолу кайра баштаңыз жана туннелдин кол менен кийлигишүүсүз кайтып келерин ырастаңыз, анткени жүктөө учурунда гана туура башталган кызмат сизди эң жаман учурда таң калтырат.
Ал ишке ашпаса, текшерилген жолду колдонуңуз
Калыбына келтирүү тартиби кооз эмес жана ал иштейт: хостко көз карандысыз жол менен жетиңиз, кызматтын өз журналдарын окуңуз жана ишке жарабастыкка туура келген конкреттүү көзөмөл чекитин калыбына келтириңиз. Ар бир аракетте бир нерсени өзгөртүңүз, ошондо журналдын кийинки окулушу бир нерсени билдирет.
Байланышты кайтаруу үчүн бир нече жазылбаган өзгөртүү жасоо умтулуусуна каршы тур. Беш бир убактагы түзөтүү менен оңдолгон машинаны кийин түшүндүрүү мүмкүн эмес, жана кийинки жаңыртуу чындап жүктү көтөргөн өзгөртүүнү кайра киргизет.
Анан далилдер менен туруктуу саясатты чечиңиз. Эгер жаңыртуу эч ким документтештирбеген көз карандылыкты ачса, оңдоо — документтештирүү жана тест, жаңыртууларды өчүрүү эмес. Эгер ал таза кайра башталбаган кызматты ачса, оңдоо бирдикте, графикте эмес.
Шарт аталган замат салыштыруу таза чечилет. Көз карандысыз жол көзөмөлсүз жаңыртууларды башкарууга боло турган тобокелдикке айландырат. Анын жоктугу ошол эле саясатты калыбына келтирүү убактысы белгисиз пландалган үзгүлтүккө айландырат, жана автоматташтыруунун эч бир көлөмү бул арифметиканы өзгөртпөйт.