Kā droši atritināt VPN servera konfigurāciju

Servera atritināšana ir lēmums par to, kura slāne atgāja neveiksmīgi, nevis failu kopēšanas vingrinājums. Konfigurācija, akreditācijas dati un pakotņu versijas pārvietojas pa atsevišķiem pulksteņiem, un vienas atjaunošana, kamēr pārējās paliek aktuālas, rada saimnieku, kas izskatās vesels un uzvedas nekonsekventi. Turpmākā secība pieņem, ka izmaiņas jau ir nogājušas greizi, un lūdz atjaunot mazāko saskaņoto stāvokli. Izpildiet to secīgi un uzskatiet ārpusjoslas piekļuves pārbaudi par soli, ko nevienam nevajadzētu izlaist.

Izveidojiet kontrolpunktu, ko tiešām varat atjaunot

Pierakstiet konfigurāciju, ko pakalpojums nolasa palaišanas laikā, kopā ar versiju, kas to pēdējo reizi parsēja. Fails, kas vecākā izlaidumā ielādējās tīri, pēc jaunināšanas var tikt noraidīts vai klusi ignorēts, tāpēc versija pieder pie tās pašas piezīmes. Iekļaujiet materiālu, uz ko konfigurācija norāda: privātās atslēgas, sertifikātu ceļus, klausītāju definīcijas un DNS un ugunsmūra ierakstus, kas padara pakalpojumu sasniedzamu. Ja atjaunošanai būtu vajadzīgs fails, ko neesat saglabājis, kontrolpunkts ir nepilnīgs.

Nosauciet katras iestatījuma īpašnieku, kamēr sistēma vēl ir vesela. Maršruts, ko instalē pakalpojumu sniedzēja panelis, maršruts, ko pievieno saimnieka ugunsmūris, un maršruts, kas tiek nosūtīts klientiem, ir trīs dažādi objekti, un nepareizā atjaunošana atstāj pārējos divus vietā. Pietiek ar īsu tabulu par iestatījumu, īpašnieku un faila ceļu.

Turiet atsaukumus atsevišķi no konfigurācijas

Vecā konfigurācija var klusi atkal savienot ierīci, kuru apzināti noņēmāt, kas pārvērš atkopšanu drošības regresijā. Saglabājiet pašreizējo atsaukumu sarakstu un atspējotos kontus, kamēr atjaunojat tīkla politiku, pēc tam atkārtoti tos piemērojiet, pirms pakalpojums pieņem klientus.

Uztveriet identitātes stāvokli kā atsevišķu atritināšanu ar saviem pierādījumiem. Sertifikātu atsaukšanas faili, kontu atspējošana un MFA reģistrācija reti atrodas tajā pašā vietā, kur dēmona konfigurācija, un konfigurācijas atjaunošana tos neaiztiks. Vispirms pārbaudiet pašreizējo stāvokli, lai zinātu, kam jāizdzīvo. Pēc atjaunošanas apstipriniet, ka noņemtā identitāte joprojām nevar izveidot savienojumu.

Sasniedziet saimnieku, kad tunelis neizdodas

Atveriet ceļu uz mašīnu, kas nav atkarīgs no maināmās komponentes. Hipervizora konsole, pārvaldības adrese atsevišķā saskarnē vai seriālā konsole visas der; SSH sesija, kas tiek pārnesta caur tuneli, neder. Ja vienīgā ieeja ir VPN, kuru gatavojaties pārstartēt, slikts maršruts vai ugunsmūra noteikums atņem jums iespēju to izlabot. Pārbaudiet alternatīvo ceļu pirms izmaiņām, nevis pēc tām. Piesakieties caur to vienreiz, apstipriniet, ka sudo darbojas, un pierakstiet precīzo adresi, ko izmantojāt.

Pārbaude ir vienkārša: nolaidiet tuneli, kamēr esat savienots pa alternatīvo ceļu, un skatiet, vai sesija izdzīvo. Ja tā pārtrūkst, jūs atradāt kļūmi, pirms tā varēja jūs iesprostot.

Piemērojiet vienu revīziju un ziniet, kad tā stājas spēkā

Izmantojiet pakalpojuma reload vai restart dokumentāciju un noskaidrojiet, kuras direktīvas kurā brīdī tiek nolasītas. Dažas vērtības tiek piemērotas reload laikā, citas tikai tad, kad sākas jauna sesija vai process, tāpēc faila rediģēšana neko nepierāda par darbojošos stāvokli. Atjaunojiet vienu revīziju, nevis sajaucam jaunu failu ar vecu izpildlaika stāvokli. Šaubu gadījumā pakalpojuma pilnīga pārstartēšana ir vieglāk pamatojama nekā daļējs reload.

Pirms izvēles pārbaudiet vienības definīciju: systemctl show -p ExecReload openvpn@server pasaka, vai reload āķis vispār pastāv. Pēc tam piemērojiet revīziju un nolasiet žurnālā pirmās jaunās kļūdas, pirms kaut ko citu maināt.

Pārbaudiet, pierakstiet un pēc tam izmeklējiet

Pievienojiet vienu atļautu klientu un pārbaudiet, kam pakalpojums paredzēts: nosaukumu atrisināšanai, atkārtotai pievienošanai un lietojumprogrammai, kas sabojājās. Apstipriniet, ka atsauktā identitāte joprojām tiek noraidīta. Pierakstiet atjaunoto revīziju, laiku un iemeslu, jo nākamajam operatoram būs vajadzīgi visi trīs. Atritināšana, ko neviens nav dokumentējis, kļūst par noslēpumu nākamreiz, kad pakalpojums uzvedīsies slikti.

systemctl status openvpn@server --no-pager
journalctl -u openvpn@server -n 50 --no-pager

Kad pakalpojums ir stabils, atkārtojiet neveiksmīgās izmaiņas saimniekā vai momentuzņēmumā, ko varat izmest. Tas atdala sliktu konfigurāciju no sliktas pakotnes vai beigušos sertifikātu. Turiet atjaunoto konfigurāciju versiju kontrolē, lai nākamais kontrolpunkts sāktos no zināma commit. Vingrinājuma jēga ir dokumentēts beigu punkts, nevis pastāvīga versijas pazemināšana.