Подгответе сериска патека за враќање пред промена на VPN на GCE

Вториот SSH прозорец на истото интерфејс не е патека за враќање. Тој ја дели рутата, правилото за огнената брана и демонот што ќе го менувате, затоа пропаѓа токму во моментот кога ви е потребен. Пред да уредувате VPN рути на VM во Compute Engine, докажете три одделни работи: дека смеете да ја користите сериската конзола, дека можете да го читате нејзиниот излез и дека гостинот навистина ќе ви даде најава. Проверките подолу одат по тој редослед, најпрво најевтината, за да се открие дозволата што недостасува пред да биде важна.

Чекор 1: потврдете ја дозволата од страната на облакот

Наведете точна VM, проект и зона, потоа проверете ја одобрената политика за сериски пристап на организацијата. На администраторот му е потребна соодветната дозвола, а интерактивниот сериски пристап мора да биде овозможен за таа инстанца според важечките контроли на проектот и организацијата.

Не ја ослабувајте политиката на организацијата и не вклучувајте пристап до конзолата за целиот проект за да подготвите една машина. Побарајте од сопственикот да го уреди дозволениот механизам пред експериментот, а не за време на прекинот.

Чекор 2: докажете дека можете да го читате излезот

Читањето на серискиот излез е најевтината проверка и го вежба транспортот без да ја допре најавата на гостинот:

gcloud compute instances get-serial-port-output VM_NAME \
    --project PROJECT_ID --zone ZONE --port 1

Заменете ги идентификаторите и користете го дозволениот порт. Пораките за подигнување и муабетот на конзолата покажуваат дека каналот работи. Тие не докажуваат дека можете да добиете shell. Затоа овој чекор е одделен од следниот.

Чекор 3: докажете дека можете да добиете интерактивна најава

Командата за поврзување отвора вистинска сесија, а не преглед:

gcloud compute connect-to-serial-port VM_NAME \
    --project PROJECT_ID --zone ZONE --port 1

Третирајте ја како жива конзола. Потврдете ја крајната точка пред да внесете акредитиви, бидејќи секое притискање на копче слетува на инстанцата.

Тука планот што изгледаше целосен се распаѓа. Дозволата во облакот е една граница, а барањето за најава на Linux е друга, и минувањето на првата не кажува ништо за втората.

Чекор 4: подгответе акредитиви што гостинот ќе ги прифати

Linux сликите што ги обезбедува Google стандардно не овозможуваат локална најава со лозинка. Затоа сериската сесија може да стигне до барање за најава и да застане таму, чекајќи акредитив што никој не го поставил.

Одобрена сметка за враќање, или кој било документиран метод за најава на гостинот што го користи вашето распоредување, мора да постои и да биде тестиран. SSH клучот што работи преку мрежата не го задоволува автоматски барањето за лозинка на конзолата, затоа проверете го вистинското уредување на OS Login и клучевите наместо да претпоставувате дека го покрива овој случај.

Чувајте ги акредитивите за враќање приватни. root лозинка залепена во јавен пример за startup-script е втор инцидент што чека да се случи.

Чекор 5: запишете го сопственикот и враќањето

Пред да промените нешто, сочувајте ја работната мрежна конфигурација и запишете кој ја управува, која VPN услуга е вклучена и како се изведува враќање. Од работна сесија, запишете ги тековните рути, правила и состојба на услугата.

Токму тој запис го претвора каналот за враќање во поправка, бидејќи конзолата ви дава само барање. Напишете го пред промената, а не потоа од меморија. Враќање копирано од wiki не е враќање. Тоа е претпоставка со број на верзија.

Чекор 6: проверете по промената

Постоечката SSH сесија сѐ уште може да преживее политика што блокира нови, затоа тестирајте со свежа нормална административна сесија. Потоа одделно тестирајте го однесувањето на VPN што сте го смениле.

Држете го каналот за враќање отворен додека двете проверки не поминат, а потоа затворете го според политиката за пристап. Ако SSH е веќе изгубен и не е подготвена најава преку конзола, престанете да го третирате серискиот пристап како безбедносна мрежа и започнете го одобрениот тек за враќање на сметка или поправка на инстанцата. Поставувањето друга VM како jump host не го поправа ниту патот на гостинот ниту акредитивите што недостасуваат.