Bereet e serielle Wiederherstellungswee virun enger GCE-VPN-Ännerung

VPN-Routen op enger Compute Engine-VM z’änneren kann Iech aussperren. Beweist d’Cloud-Berechtegung, de seriellen Ausgang an e Gaascht-Login, ier Dir d’Routen ufässt.

En zweet SSH-Fënster op der selwechter Schnëttstell ass kee Wiederherstellungswee. Et deelt d’Route, d’Firewallregel an den Daemon, deen Dir grad wëllt änneren, dofir feelt et genau an deem Moment, wou Dir et braucht. Ier Dir VPN-Routen op enger Compute Engine-VM ännert, beweist dräi getrennte Saachen: datt Dir d’seriell Konsole benotze däerft, datt Dir hiren Ausgang liese kënnt, an datt de Gaascht Iech wierklech e Login gëtt. D’Kontrollen ënnendrënner lafen an dëser Reihenfolg, déi bëllegst fir d’éischt, sou datt eng fehlend Berechtegung entdeckt gëtt, ier se zielt.

Schrëtt 1: bestätegt d’Berechtegung op der Cloud-Säit

Nennt déi genee VM, de Projet an d’Zone, a kontrolléiert dann d’Organisatioun hir genehmegt Politik fir seriellen Zougang. Den Administrateur brauch déi entspriechend Berechtegung, an den interaktive seriellen Zougang muss fir déi Instanz ënner de gëltegen Projet- an Organisatiounskontrollen aktivéiert sinn.

Schwächt keng Organisatiounspolitik a schalt den Zougang zur Konsole net fir e ganze Projet an, fir eng eenzeg Maschinn virzebereeden. Frot den Eegentemer, dee erlaabten Mechanismus virum Experiment ze arrangéieren, net wärend der Stéierung.

Schrëtt 2: beweist, datt Dir den Ausgang liese kënnt

De seriellen Ausgang liesen ass déi bëllegst Kontroll, an et übt den Transport, ouni de Gaascht-Login unzefänken:

gcloud compute instances get-serial-port-output VM_NAME \
    --project PROJECT_ID --zone ZONE --port 1

Ersetzt d’Identifikatoren a benotzt dee erlaabten Port. Startmessage an d’Konsoleschwätzen soen Iech, datt de Kanal funktionéiert. Si beweisen net, datt Dir eng Shell kritt. Dofir ass dëse Schrëtt vum nächsten getrennt.

Schrëtt 3: beweist, datt Dir en interaktive Login kritt

De Verbindungsbefehl mécht eng richteg Sessioun op, keng Virschau:

gcloud compute connect-to-serial-port VM_NAME \
    --project PROJECT_ID --zone ZONE --port 1

Behandelt et wéi eng live Konsole. Bestätegt den Endpunkt, ier Dir Umeldungsdaten tippt, well all Tastendrock op der Instanz landt.

Hei fällt e Plang ausernee, dee komplett ausgesinn huet. Cloud-Berechtegung ass eng Grenz an de Linux-Login-Prompt ass eng aner, an déi éischt ze passéieren seet näischt iwwer déi zweet.

Schrëtt 4: bereet Umeldungsdaten vir, déi de Gaascht akzeptéiert

Linux-Biller, déi Google liwwert, aktivéieren net standardméisseg e lokale Passwuert-Login. Eng seriell Sessioun kann dofir en Login-Prompt erreechen an do stoppen, op en Umeldungsdatum waarden, deen keen agestallt huet.

En genehmegt Wiederherstellungskonto, oder wat fir eng dokumentéiert Gaascht-Login-Method Är Deployement och benotzt, muss existéieren an getest sinn. En SSH-Schlëssel, deen iwwer d’Netzwierk funktionéiert, erfëllt net automatesch en Konsol-Passwuert-Prompt, also kontrolléiert déi tatsächlech OS Login- a Schlësselregelung, amplaz unzehuelen, datt se dëse Fall deckt.

Halt d’Wiederherstellungs-Umeldungsdaten privat. E root-Passwuert, deen an eng ëffentlech startup-script-Beispill agefüügt gëtt, ass en zweeten Tëschefall, deen drop waart ze geschéien.

Schrëtt 5: notéiert den Eegentemer an de Rollback

Ier Dir eppes ännert, behält d’funktionéierend Netzwierkkonfiguratioun a schreift op, wien se geréiert, wéi eng VPN-Service bedeelegt ass a wéi e Rollback gemaach gëtt. Vu enger funktionéierender Sessioun, hält déi aktuell Routen, Regelen an de Servicezoustand fest.

Genee dës Notiz mécht aus engem Wiederherstellungskanal eng Reparatur, well d’Konsole gëtt Iech nëmmen e Prompt. Schreift se virun der Ännerung, net duerno aus dem Gediechtnis. E Rollback, deen aus enger Wiki kopéiert ass, ass kee Rollback. Et ass eng Vermutung mat enger Versiounsnummer.

Schrëtt 6: verifizéiert no der Ännerung

Eng existéierend SSH-Sessioun kann eng Politik iwwerliewen, déi nei blockéiert, also testt mat enger frëscher normaler Administratiounssessioun. Testt duerno dat geännert VPN-Verhalen separat.

Halt de Wiederherstellungskanal op, bis béid Kontrollen duerchginn, a schléisst en duerno no der Zougangspolitik. Wann SSH schonn verluer ass an kee Konsol-Login virbereet gouf, hält op, de seriellen Zougang als Sécherheetsnetz ze behandelen, a fänkt de genehmegten Aarbechtsflux fir Kontowiederherstellung oder Instanzreparatur un. Eng aner VM als Jump Host opzestellen reparéiert weder de Gaaschtwee nach déi fehlend Umeldungsdaten.

Ähnlech Artikelen