Kā plānot maršrutētāja VPN atcelšanu pirms attālas maiņas

Jūs gatavojaties rediģēt tuneli, kurā ir jūsu sesija, tāpēc darbs, kas jūs saglabā, notiek pirms izmaiņu veikšanas, nevis pēc izmaiņām. Drošības tīkls nav VPN lapā: tas ir atjaunošanas ekrāns, konsole vai otrs ceļš, kas neiet cauri ierīcei, kuru rediģējat. Es plānoju visus trīs tajā pašā maršrutētāja saskarnē, kuru grasos rediģēt, un izmantoju ceļu vienreiz, kamēr viss joprojām darbojas. Šis ir norādījums, ko es sekoju secībā.

Veiciet atjaunošanas plūsmu, pirms tas ir nepieciešams

Atveriet lapu, kurā tiks atsauktas izmaiņas. Programmā pfSense tas ir Diagnostika > Dublēšana un atjaunošana; vietnē OpenWrt tā ir Sistēma > Dublēšana / Flash programmaparatūra; pakalpojumā OPNsense tas ir Sistēma > Konfigurācija > Dublējumkopijas, kas saglabā arī iepriekšējos labojumus, uz kuriem varat atgriezties bez faila. Jūs vēl neko neatjaunojat. Jūs pārbaudāt, vai šī lapa tiek atvērta no ceļa, kas jums būs izmaiņu laikā, vai tā vēlas pēc tam atsāknēt un vai tā noraida arhīvu, kas rakstīts ar citu programmaparatūras laidienu. Netgate dokumentē savu eksporta un atjaunošanas plūsmu vietnē docs.netgate.com.

Atjaunošana apmaina visu konfigurāciju, tāpēc tā nav viena noteikuma atsaukšana. Arhīvā ir lietotāji, sertifikāti, VPN atslēgas, ugunsmūra noteikumi un administratora interfeisa iestatījumi, kas nosaka, kurš var pieteikties. Tāpēc es eksportēju tieši pirms izmaiņām un nosaucu failu ar datumu un vienu iestatījumu, kuram plānoju pieskarties. Atjaunojot mēnesi vecu failu, tiek atjaunots arī mēnesi vecs tunelis un mēnesi veca atslēga.

Ja platforma ielādē tikai arhīvus no tā paša laidiena, ņemiet vērā to tūlīt: programmaparatūras jauninājums un VPN rediģēšana vienā logā liek jums turēt failu, kuru maršrutētājs nepieņems.

Pierādiet veidu, kā izlaist tuneli

Otrā SSH sesija no tā paša klēpjdatora uz to pašu publisko adresi nav otrs ceļš; abi mirst kopā. Neatkarīgais ceļš ir viens no šiem: seriālā vai KVM konsole, hipervizora vai mākoņa konsole, pārvaldības VLAN, kas sasniedzams no resursdatora, kas neatrodas aiz tuneļa, otrs WAN vai LTE modems ar savu administratīvo noteikumu vai persona uz vietas.

Pārbaudiet izvēlēto ceļu, kamēr maršrutētājs ir veselīgs. Piesakieties tajā, atveriet VPN lapu un pirms saglabāšanas apstājieties. Ja bloķēšanas kārtula ļauj tai sasniegt tikai informācijas paneli, jums joprojām ir laiks to labot, un labojumam ir jāatrodas virs aizlieguma kārtulas kārtulu secībā.

Lielākā daļa maršrutētāju saista administratora pakalpojumu ar saskarni vai adrešu saimi, tāpēc ārpusjoslas maršrutam ir jānonāk tur, kur šis pakalpojums klausās. Loga saistījuma paplašināšana darbojas, taču tā pati par sevi ir izmaiņas ceļā, no kura esat atkarīgs.

Eksportējiet failu un ierakstiet trigeri

Pārvietojiet eksportētos failus no maršrutētāja un ierīces, kas var zaudēt savu tuneli. Maršrutētāja failu sistēmā saglabātā dublējumkopija pazūd tieši tajā kļūmē, kuru plānojat, un klēpjdatora sēdēšana, kas drīz zaudē savienojumu, ir tikko labāka.

Uztveriet šo failu kā akreditācijas datus. Tajā ir privātās atslēgas, iepriekš koplietoti noslēpumi, sertifikātu materiāli un paroļu jaucējkodoli, tāpēc šifrējiet to vai uzglabājiet to tikpat rūpīgi kā maršrutētāja pieteikšanos.

Pēc tam uzrakstiet vienu teikumu: ja es nevaru atvērt jaunu pārvaldības sesiju no PATH N minūšu laikā pēc izmaiņām, es atjaunoju FILE un restartēju. Teikums samazina darbības jomu līdz vienam mainīgajam. Maršruta, DNS un ugunsmūra labojumi, kas veikti kopā, tiek ātri saglabāti un lēni sadalās uz pusēm, kad veicat vēl vienu mēģinājumu.

Izmantojiet apstiprināšanas taimeri, ja platformai tāds ir

Ja neizdosies tās apstiprināt, vairākas platformas atsauks izmaiņas jūsu vietā. RouterOS drošais režīms, kas terminālī ievadīts, izmantojot taustiņu kombināciju Ctrl+X, atjauno šajā sesijā veiktās izmaiņas, kad sesija tiek pārtraukta. Junos atceļ neapstiprināto apņemšanos, kas ir apstiprināta. Cisco IOS pāri tiek atkārtoti ielādēti ar atkārtotas ielādes atcelšanu. Uzņēmuma ugunsmūri parasti veic neapstiprinātas izmaiņas, izmantojot automātiskās atgriešanas taimeri. OpenWrt un lielākajai daļai patērētāju programmaparatūras nav nekā līdzvērtīga, tāpēc taimerim ir jābūt ārējam: ieplānotai atjaunošanai, cron uzdevumam, kas apmaina failu atpakaļ un restartē pakalpojumu, vai restartēšanai iepriekšējā konfigurācijā.

Nedomājiet, ka līdzīga nosaukuma funkcija aptver to pašu darbības jomu. Viena produkta automātiskā atgriešana var attiekties tikai uz ugunsmūra noteikumiem; cits var aptvert visu konfigurāciju, tostarp pārvaldības kārtulu, kuru tikko mainījāt, lai jūs būtu sasniedzams. Izlasiet, ko taimeris atgriež, pirms paļaujaties uz to.

Taimeris neaizstāj eksportētu failu. Tas neizdodas gadījumā, kas šeit ir vissvarīgākais: sesija saglabājas, pārvaldības plakne neizdodas, un nekas nekad neizraisa atgriešanos.

Pārbaudiet pilnīgi jaunu savienojumu, nevis atvērto

Iedibināta sesija bieži turpina strādāt ar izmaiņām, kas bloķē katru jaunu rokasspiedienu, jo tā stāvoklis jau pastāv un politika tiek novērtēta, kad tiek izveidots savienojums. Pēc izmaiņām izveidojiet jaunus savienojumus no attālās puses: jauna SSH sesija, jauns VPN rokasspiediens no klienta, normāla lapas ielāde maršrutētāja LAN adresei.

# run these from the remote machine, in a new shell
ssh -o ConnectTimeout=8 admin@"$ROUTER_WAN"
nc -vz "$ROUTER_WAN" 443
dig +short example.internal "@$ROUTER_LAN"

Pēc tam pārbaudiet lejpus tuneļa, nevis paša tuneļa: nosaukuma izšķirtspēju, TCP savienojumu ar iekšējo pakalpojumu un faktiski izmantoto lietojumprogrammu. Tunelis, kas izveido, bet neizsniedz izmantojamu DNS, klienta statusā izskatās vesels un pārlūkprogrammā ir bojāts, un šī atšķirība nosaka, vai atjaunot failu vai labot vienu noteikumu.

Atkārtojiet šo darbību pēc piespiedu atvienošanas un atkārtotas pievienošanas, kā arī vēlreiz pēc atsāknēšanas, ja platforma sāknēšanas laikā atkārtoti izmanto stāvokli. Dažas konfigurācijas iztur katru tiešraides pārbaudi un neizdodas pirmajā sāknēšanas reizē, kad tiek ieviesti jaunie noteikumi.

Aizveriet durvis, kuras atvērāt logam

Noņemiet pagaidu jebkura avota administratora kārtulu, izmešanas kontu, paplašināto saistīšanu, pieļaujamo DNS kārtulu un atkļūdošanas reģistrēšanu. Šī noņemšana pati par sevi ir izmaiņas ceļā, no kura esat atkarīgs, tāpēc pēc tās no attāluma palaidiet atkārtotu savienojuma pārbaudi.

Saglabājiet eksportēto failu, līdz izmaiņas ir izturējušas pēc atsāknēšanas un reāla klienta atkārtota savienojuma, pēc tam pagrieziet visu, ko kopīgojāt, kamēr logs bija atvērts. Konfigurācija, kas darbojas līdz nākamajai sāknēšanai, ir kluss veids, kā nedēļu vēlāk pazaudēt maršrutētāju, kad neviens neatceras, kurš noteikums bija īslaicīgs.

Pierakstiet izmaiņas, kur skatās nākamā persona: kas ir pārvietots, kurš fails to atsauc, kurš ceļš sasniedz konsoli un kurš noteikums bija pagaidu.

Pirms VPN lapas atvēršanas ir jābūt četrām lietām: jūsu pārbaudītajai atjaunošanas plūsmai, otrajam pārbaudītajam ceļam, eksportētam failam, kuru varat faktiski sasniegt, un rakstiskam aktivizētājam. Ja kāda trūkst, vispirms izlabojiet to. Izmaiņas var gaidīt stundu; Lokauts nevar.