Wéi plangt e Router VPN Rollback virun enger Remote Change

Dir sidd amgaang den Tunnel z'änneren, deen Är eege Sessioun dréit, sou datt d'Aarbecht, déi Iech spuert, geschitt virun der Ännerung, net während der Scramble duerno. D'Sécherheetsnetz ass net op der VPN Säit: et ass de Restauratiounsbildschierm, eng Konsole oder en zweete Wee deen net duerch den Apparat leeft deen Dir ännert. Ech plangen all dräi op der selwechter Router Interface ech amgaang ze änneren, an ech benotzen de Wee eemol iwwerdeems alles nach Wierker. Dëst ass de Walkthrough deen ech verfollegen, an Uerdnung.

Gitt de Restauratiounsfloss ier Dir et braucht

Öffnen d'Säit déi Är Ännerung annuléiert. Op pfSense dat ass Diagnostik> Backup & Restauréieren; op OpenWrt ass et System> Backup / Flash Firmware; op OPNsense ass et System> Konfiguratioun> Backups, déi och fréier Versioune hält, op déi Dir ouni Datei zréckkënnt. Dir restauréiert nach näischt. Dir kontrolléiert ob dës Säit vum Wee opmaacht deen Dir wärend der Ännerung hutt, ob se duerno e Restart wëllt an ob et en Archiv refuséiert, geschriwwe vun enger anerer Firmware Verëffentlechung. Netgate dokumentéiert säin eegenen Export a restauréiert de Flow bei docs.netgate.com.

Eng Restauratioun wiesselt déi ganz Konfiguratioun aus, sou datt et net e Réckgang fir eng Regel ass. D'Archiv dréit Benotzer, Certificaten, VPN Schlësselen, Firewall Regelen, an d'Admin Interface Astellungen, déi entscheeden wien aloggen kann. Dofir exportéieren ech direkt virun der Ännerung an benennen de Fichier mam Datum an der eenzeger Astellung ech wëlles ze beréieren. E Mount-ale Fichier restauréiert och e Mount-alen Tunnel an e Mount-ale Schlëssel.

Wann d'Plattform nëmmen Archiven aus der selwechter Verëffentlechung lued, notéiert et elo: e Firmware Upgrade plus eng VPN Ännerung an enger Fënster léisst Iech e Fichier halen deen de Router net akzeptéiert.

Beweist e Wee an deen den Tunnel iwwerspréngt

Eng zweet SSH Sessioun vum selwechte Laptop op déi selwecht ëffentlech Adress ass keen zweete Wee; béid stierwen zesummen. Den onofhängege Wee ass ee vun dësen: eng Seriell oder KVM Konsol, en Hypervisor oder Cloud Konsol, e Management VLAN erreechbar vun engem Host deen net hannert dem Tunnel ass, en zweete WAN oder LTE Modem mat senger eegener administrativer Regel, oder eng Persoun op der Plaz.

Test de gewielte Wee wärend de Router gesond ass. Mellt Iech driwwer un, öffnen d'VPN Säit, a stoppen ier Dir späichert. Wann eng Sperrregel et nëmmen op den Dashboard erreechen léisst, hutt Dir nach ëmmer Zäit fir dat ze fixéieren, an d'Korrektur muss iwwer d'Verweigerungsregel an der Regeluerdnung sëtzen.

Déi meescht Router binden den Admin-Service un eng Interface oder eng Adressfamill, sou datt en Out-of-Band-Streck muss ukommen, wou dee Service nolauschtert. D'Verbreedung vun der Bindung fir d'Fënster funktionnéiert, awer et ass selwer eng Ännerung vum Wee op deem Dir hänkt.

Export d'Datei a schreift den Ausléiser

Beweegt den Export vum Router a vun der Maschinn déi säin Tunnel verléiere kéint. E Backup, deen um Router Dateiesystem gespäichert ass, verschwënnt genee an deem Echec deen Dir plangt, an een deen um Laptop sëtzt deen amgaang ass d'Konnektivitéit ze verléieren ass kaum besser.

Gitt dës Datei als Umeldungsinformatioun. Et hält privat Schlësselen, virgedeelt Geheimnisser, Zertifikatmaterial a Passwuert-Hashes, also verschlësselt et oder späichert et mat der selwechter Suergfalt wéi de Router Login.

Da schreift ee Saz: Wann ech net eng nei Gestiounssession vu PATH bannent N Minutte vun der Ännerung opmaachen kann, restauréieren ech FILE an nei starten. De Saz zwéngt den Ëmfang op eng Variabel erof. Route-, DNS- a Firewall-Editioune, déi zesummen engagéiert sinn, si séier ze späicheren a lues ze bisectéieren wann Dir nach ee Versuch kritt.

Benotzt eng commit Timer wou d'Plattform een huet

Verschidde Plattforme wäerten d'Ännerung fir Iech réckgängeg maachen wann Dir et net bestätegen. RouterOS Safe Mode, aginn mat Ctrl + X an engem Terminal, setzt d'Ännerungen zréck, déi an där Sessioun gemaach goufen, wann d'Sessioun fällt. De Junos rullt en onbestätegt Engagement zréck. Cisco IOS Puer reload an mat reload annuléieren. Enterprise Firewalls stattfannen allgemeng Ännerunge mat engem Auto-Revert Timer. OpenWrt an déi meescht Konsument Firmware hunn näischt Äquivalent, also do muss den Timer extern sinn: eng geplangte Restauratioun, eng Cron Job, déi eng Datei zrécktauscht an de Service nei start, oder e Restart an déi viregt Konfiguratioun.

Gitt net un datt eng ähnlech genannt Feature deeselwechten Ëmfang deckt. Den Auto-Revert vun engem Produkt kann nëmme Firewall-Regelen ofdecken; en aneren kann déi ganz Konfiguratioun ofdecken, och d'Gestiounsregel déi Dir just geännert hutt fir Iech erreechbar ze halen. Liest wat den Timer zréckkënnt ier Dir drop vertrauen.

En Timer ass keen Ersatz fir eng exportéiert Datei. Et feelt am Fall deen hei am meeschte wichteg ass: d'Sessioun iwwerlieft, d'Gestiounsfliger net, an näischt féiert jeemools de Revert aus.

Test eng fuschneie Verbindung, net déi oppe

Eng etabléiert Sessioun hält dacks duerch Ännerungen déi all nei Handschlag blockéieren, well säi Staat schonn existéiert a Politik gëtt evaluéiert wann eng Verbindung erstallt gëtt. No der Ännerung, erstellt nei Verbindunge vun der Remote Säit: eng frësch SSH Sessioun, e frësche VPN Handshake vun engem Client, eng normal Säitbelaaschtung op d'LAN Adress vum Router.

# run these from the remote machine, in a new shell
ssh -o ConnectTimeout=8 admin@"$ROUTER_WAN"
nc -vz "$ROUTER_WAN" 443
dig +short example.internal "@$ROUTER_LAN"

Dann Test downstream vum Tunnel anstatt den Tunnel selwer: Numm Resolutioun, eng TCP Verbindung zu engem internen Service, an der Applikatioun Dir eigentlech benotzt. En Tunnel deen etabléiert, awer keng benotzbar DNS ausdeelt, gesäit gesond am Clientstatus a gebrach am Browser, an deen Ënnerscheed entscheet ob Dir d'Datei restauréiert oder eng Regel fixéiert.

Widderhuelen no engem gezwongen trennen an nei konnektéieren, an nach eng Kéier no engem Restart wann d'Plattform nees Staat um Stiwwel applizéiert. E puer Konfiguratiounen passéieren all Live Test a falen um éischte Boot mat den neie Regelen op der Plaz.

Maacht d'Dieren zou, déi Dir fir d'Fënster opgemaach hutt

Ewechzehuelen déi temporär Any-Source Admin Regel, de throwaway Account, déi erweidert Bindung, déi permissiv DNS Regel, an d'Debug Logging. Dës Entfernung ass selwer eng Ännerung vum Wee vun deem Dir ofhängeg ass, also fuerdert de frësche Verbindungstest duerno, vun der Fernsäit.

Halt déi exportéiert Datei bis d'Ännerung e Restart iwwerlieft huet an e richtege Client erëm konnektéieren, rotéiert dann alles wat Dir gedeelt hutt während d'Fënster op war. Eng Konfiguratioun déi funktionnéiert bis den nächsten Boot ass e rouege Wee fir e Router eng Woch méi spéit ze verléieren, wa kee sech erënnert wéi eng Regel temporär war.

Schreift d'Ännerung erof wou déi nächst Persoun kuckt: wat geplënnert ass, wéi eng Datei mécht se un, wéi ee Wee op d'Konsole kënnt, a wéi eng Regel war temporär.

Ier Dir d'VPN Säit opmaacht, musse véier Saachen existéieren: e Restauratiounsfloss deen Dir getest hutt, en zweete Wee deen Dir bewisen hutt, eng exportéiert Datei déi Dir tatsächlech kënnt erreechen, an e schrëftlechen Ausléiser. Wann iergendeen fehlt, fixéiert dat als éischt. D'Ännerung kann eng Stonn waarden; eng Spär kann net.