Kaip suplanuoti maršrutizatoriaus VPN grąžinimą prieš nuotolinį pakeitimą

Ketinate redaguoti tunelį, kuriame vyksta jūsų pačių seansas, todėl darbas, kuris jus išsaugo, vyksta prieš pakeitimą, o ne per maišymą po jo. Apsaugos tinklo nėra VPN puslapyje: tai atkūrimo ekranas, konsolė arba antras kelias, kuris neveikia per įrenginį, kurį redaguojate. Visus tris planuoju toje pačioje maršrutizatoriaus sąsajoje, kurią ruošiuosi redaguoti, ir naudoju kelią vieną kartą, kol viskas veikia. Tai yra žingsnis, kuriuo vadovaujuosi eilės tvarka.

Atlikite atkūrimo eigą, kol jums to prireiks

Atidarykite puslapį, kuris anuliuotų jūsų pakeitimą. „pfSense“ yra Diagnostika > Atsarginė kopija ir atkūrimas; „OpenWrt“ yra Sistema > Atsarginė kopija / „Flash“ programinė įranga; OPNsense tai Sistema > Konfigūracija > Atsarginės kopijos, kuriose taip pat išsaugomos ankstesnės versijos, į kurias galite grįžti be failo. Dar nieko neatkuriate. Tikrinate, ar tas puslapis atidaromas tuo keliu, kurį turėsite pakeitimo metu, ar jis nori, kad po to būtų paleistas iš naujo ir ar jis atmeta archyvą, parašytą naudojant kitą programinės įrangos leidimą. Netgate dokumentuoja savo eksporto ir atkūrimo srautą adresu docs.netgate.com.

Atkūrimas pakeičia visą konfigūraciją, todėl tai nėra vienos taisyklės anuliavimas. Archyve yra vartotojai, sertifikatai, VPN raktai, ugniasienės taisyklės ir administratoriaus sąsajos nustatymai, kurie nusprendžia, kas gali prisijungti. Štai kodėl eksportuoju prieš pat pakeitimą ir pavadinu failą su data ir vienu nustatymu, kurį ketinu paliesti. Atkuriant mėnesio senumo failą taip pat atkuriamas mėnesio senumo tunelis ir mėnesio senumo raktas.

Jei platforma įkelia tik tos pačios leidimo archyvus, atkreipkite dėmesį į tai dabar: programinės įrangos atnaujinimas ir VPN redagavimas viename lange palieka failą, kurio maršruto parinktuvas nepriims.

Įrodykite būdą, kuriuo praleidžiamas tunelis

Antroji SSH sesija iš to paties nešiojamojo kompiuterio į tą patį viešąjį adresą nėra antras kelias; abu kartu miršta. Nepriklausomas kelias yra vienas iš šių: nuoseklioji arba KVM konsolė, hipervizorius arba debesies konsolė, valdymo VLAN, pasiekiamas iš pagrindinio kompiuterio, kuris nėra už tunelio, antrasis WAN arba LTE modemas su savo administravimo taisykle arba asmuo vietoje.

Išbandykite pasirinktą kelią, kol maršrutizatorius yra sveikas. Prisijunkite per jį, atidarykite VPN puslapį ir sustokite prieš išsaugodami. Jei užrakinimo taisyklė leidžia pasiekti tik prietaisų skydelį, vis tiek turite laiko tai ištaisyti, o taisymas turi būti virš atsisakymo taisyklės taisyklės tvarka.

Dauguma maršruto parinktuvų administratoriaus paslaugą susieja su sąsaja arba adresų šeima, todėl maršrutas už juostos turi būti ten, kur ta paslauga klausosi. Lango įrišimo išplėtimas veikia, tačiau tai savaime yra kelio, nuo kurio priklausote, pakeitimas.

Eksportuokite failą ir parašykite trigerį

Perkelkite eksportą nuo maršrutizatoriaus ir įrenginio, kuris gali prarasti tunelį. Maršrutizatoriaus failų sistemoje saugoma atsarginė kopija išnyksta būtent tada, kai planuojate gedimą, o sėdėjimas ant nešiojamojo kompiuterio, kuris netrukus praranda ryšį, yra vos geresnis.

Laikykite tą failą kaip kredencialą. Jame yra privatūs raktai, iš anksto bendrinamos paslaptys, sertifikatų medžiaga ir slaptažodžių maišos, todėl šifruokite arba saugokite taip pat atsargiai, kaip ir prisijungdami prie maršrutizatoriaus.

Tada parašykite vieną sakinį: jei negaliu atidaryti naujos valdymo sesijos iš PATH per N minučių po pakeitimo, atkursiu FILE ir paleidžiu iš naujo. Sakinys sumažina taikymo sritį iki vieno kintamojo. Kartu atlikti maršruto, DNS ir ugniasienės pakeitimai greitai išsaugomi ir lėtai dalijami, kai dar kartą bandote.

Naudokite įsipareigojimo laikmatį, jei platforma jį turi

Kelios platformos anuliuos pakeitimą už jus, jei nepavyks jo patvirtinti. „RouterOS“ saugusis režimas, įvestas naudojant Ctrl+X terminale, grąžina per tą seansą atliktus pakeitimus, kai sesija nutrūksta. Junos atšaukia nepatvirtintą, patvirtintą įsipareigojimą. Cisco IOS poros įkeliamos iš naujo su perkrovimo atšaukimu. Įmonės užkardos dažniausiai atlieka laukiančius pakeitimus naudodamos automatinio grąžinimo laikmatį. OpenWrt ir dauguma vartotojų programinės įrangos neturi nieko lygiaverčio, todėl laikmatis turi būti išorinis: suplanuotas atkūrimas, cron užduotis, kuri sukeičia failą atgal ir paleidžia paslaugą iš naujo, arba perkrovimas į ankstesnę konfigūraciją.

Nemanykite, kad panašiai pavadinta funkcija apima tą pačią sritį. Vieno produkto automatinis grąžinimas gali apimti tik ugniasienės taisykles; kitas gali apimti visą konfigūraciją, įskaitant valdymo taisyklę, kurią ką tik pakeitėte, kad būtumėte pasiekiami. Prieš pasitikėdami laikmačiu, perskaitykite, ką grąžina laikmatis.

Laikmatis nepakeičia eksportuoto failo. Tai nepavyksta tuo atveju, kuris čia yra svarbiausias: seansas išlieka, valdymo plokštuma ne ir niekas niekada nesukelia grįžimo.

Išbandykite visiškai naują ryšį, o ne atidarytą

Nustatyta sesija dažnai veikia atliekant pakeitimus, kurie blokuoja kiekvieną naują rankos paspaudimą, nes jo būsena jau egzistuoja, o politika įvertinama užmezgant ryšį. Po pakeitimo sukurkite naujus ryšius iš nuotolinės pusės: nauja SSH sesija, naujas VPN rankos paspaudimas iš kliento, įprastas puslapio įkėlimas į maršrutizatoriaus LAN adresą.

# run these from the remote machine, in a new shell
ssh -o ConnectTimeout=8 admin@"$ROUTER_WAN"
nc -vz "$ROUTER_WAN" 443
dig +short example.internal "@$ROUTER_LAN"

Tada išbandykite po tunelio, o ne patį tunelį: pavadinimo skyrą, TCP ryšį su vidine paslauga ir iš tikrųjų naudojamą programą. Tunelis, kuris sukuria, bet neišduoda tinkamo DNS, atrodo sveikas pagal kliento būseną ir sugadintas naršyklėje, o šis skirtumas nusprendžia, ar atkurti failą, ar pataisyti vieną taisyklę.

Pakartokite po priverstinio atjungimo ir vėl prisijungimo, ir dar kartą po perkrovimo, jei platforma vėl bus paleista. Kai kurios konfigūracijos išlaiko kiekvieną tiesioginį testą ir nepavyksta pirmą kartą paleidus naujas taisykles.

Uždarykite duris, kurias atidarėte prie lango

Pašalinkite laikiną bet kokio šaltinio administratoriaus taisyklę, pašalinimo paskyrą, išplėstą susiejimą, leidžiančią DNS taisyklę ir derinimo žurnalą. Pats pašalinimas yra kelio, nuo kurio priklausote, pakeitimas, todėl po jo pakartokite naujo ryšio testą iš nuotolinės pusės.

Eksportuotą failą laikykite tol, kol pakeitimas bus atliktas perkrovus ir vėl prisijungus prie tikro kliento, tada pasukite viską, ką bendrinote, kol langas buvo atidarytas. Konfigūracija, kuri veikia iki kito įkrovimo, yra ramus būdas prarasti maršruto parinktuvą po savaitės, kai niekas neprisimena, kuri taisyklė buvo laikina.

Užrašykite pakeitimą, kur žiūri kitas asmuo: kas persikėlė, kuris failas tai anuliuoja, koks kelias pasiekia konsolę ir kuri taisyklė buvo laikina.

Prieš atidarant VPN puslapį, turi būti keturi dalykai: jūsų išbandytas atkūrimo srautas, antrasis įrodytas kelias, eksportuotas failas, kurį iš tikrųjų galite pasiekti, ir rašytinis aktyviklis. Jei kurio nors trūksta, pirmiausia pataisykite. Keitimas gali palaukti valandą; Lokautas negali.