Како безбедно да ја вратите конфигурацијата на VPN сервер

Враќањето на серверот назад е одлука за тоа кој слој откажал, а не вежба во копирање датотеки. Конфигурацијата, акредитивите и верзиите на пакетите се движат по различни часовници, и обновувањето на едното додека другите остануваат ажурни создава домаќин што изгледа здрав, а се однесува неконзистентно. Следната низа претпоставува дека промената веќе тргнала наопаку и бара да ја обновите најмалата кожерентна состојба. Поминете ја по ред и третирајте ја проверката на пристапот надвор од опсегот како чекор што никој не треба да го прескокне.

Направете контролна точка што навистина можете да ја вратите

Запишете ја конфигурацијата што услугата ја чита при стартување, заедно со верзијата што последна ја анализирала. Датотека што се вчитувала чисто во постаро издание може да биде одбиена или тивко игнорирана по надградба, па верзијата припаѓа во истата белешка. Вклучете го материјалот на кој упатува конфигурацијата: приватни клучеви, патеки до сертификати, дефиниции на слушатели и записите за DNS и огнениот ѕид што ја прават услугата достапна. Ако враќањето би барало датотека што не сте ја зачувале, контролната точка е нецелосна.

Именувајте го сопственикот на секое поставување додека системот е сѐ уште здрав. Патека инсталирана од панелот на давателот, една додадена од огнениот ѕид на домаќинот и една испратена до клиентите се три различни објекти, и враќањето на погрешниот ги остава другите два на место. Кратка табела со поставување, сопственик и патека на датотека е доволна.

Држете ги отповикувањата одделно од конфигурацијата

Стара конфигурација може тивко повторно да поврзе уред што сте го отстраниле намерно, што го претвора обновувањето во безбедносен регрес. Зачувајте ја тековната листа на отповикувања и оневозможените сметки додека ја обновувате мрежната политика, потоа повторно применете ги пред услугата да прифати клиенти.

Третирајте ја состојбата на идентитетот како сопствено враќање со сопствени докази. Датотеките за отповикување сертификати, оневозможувањето сметки и регистрацијата за MFA ретко живеат на истото место како конфигурацијата на демонот, и враќањето на конфигурацијата нема да ги допре. Прво проверете ја тековната состојба за да знаете што мора да преживее. По враќањето, потврдете дека отстранетиот идентитет сѐ уште не може да се поврзе.

Стигнете до домаќинот кога тунелот откажува

Отворете патека до машината што не зависи од компонентата што се менува. Конзола на хипервизор, управувачка адреса на одделен интерфејс или сериска конзола сите се прифатливи; SSH сесија пренесена низ тунелот не е. Ако единствениот влез е VPN-от што ќе го рестартирате, лоша патека или правило на огнениот ѕид ви ја одзема можноста да го исправите. Тестирајте ја алтернативната патека пред промената, не потоа. Најавете се низ неа еднаш, потврдете дека sudo работи и запишете ја точната адреса што ја користевте.

Тестот е едноставен: спуштете го тунелот додека сте поврзани низ алтернативната патека и видете дали сесијата преживува. Ако падне, го најдовте дефектот пред да може да ве заглави.

Применете една ревизија и знајте кога стапува на сила

Користете ја документацијата на услугата за reload или restart и откријте кои директиви се читаат во кој момент. Некои вредности важат при reload, други само кога започнува нова сесија или процес, па уредувањето датотека не докажува ништо за состојбата што работи. Вратете една ревизија наместо да мешате нова датотека со стара извршна состојба. Кога сте во сомнеж, целосниот рестарт на услугата полесно се образложува од делумно reload.

Проверете ја дефиницијата на единицата пред да изберете: systemctl show -p ExecReload openvpn@server ви кажува дали воопшто постои кука за reload. Потоа применете ја ревизијата и прочитајте го журналот за првите нови грешки пред да смените нешто друго.

Проверете, запишете и истражите потоа

Поврзете еден овластен клиент и испробајте за што служи услугата: разрешување имиња, повторно поврзување и апликацијата што откажала. Потврдете дека отповиканиот идентитет сѐ уште е одбиен. Запишете ја ревизијата што сте ја вратиле, времето и причината, зашто следниот оператор ќе ги треба сите три. Враќање што никој не го документирал станува мистерија следниот пат кога услугата сѐ уште ќе се однесува лошо.

systemctl status openvpn@server --no-pager
journalctl -u openvpn@server -n 50 --no-pager

Кога услугата ќе се стабилизира, репродуцирајте ја неуспешната промена на домаќин или снимка што можете да ја отфрлите. Тоа ја одделува лошата конфигурација од лошиот пакет или истечениот сертификат. Држете ја вратената конфигурација под контрола на верзии за следната контролна точка да започне од познат commit. Смислата на вежбата е документирана крајна точка, а не трајно намалување.