Како да планирате враќање на рутер VPN пред далечинска промена

Ќе го уредите тунелот што ја носи вашата сопствена сесија, така што работата што ве спасува се случува пред промената, а не за време на трката по неа. Безбедносната мрежа не е на страницата VPN: тоа е екран за обновување, конзола или втора патека што не поминува низ уредот што го уредувате. Ги планирам сите три на истиот рутер интерфејс што ќе го уредувам, и ја користам патеката еднаш додека сѐ уште работи. Ова е чекорот што го следам, по ред.

Прошетајте го обновениот тек пред да ви треба

Отворете ја страницата што ќе ја поништи вашата промена. На pfSense тоа е Дијагностика > Бекап и обновување; на OpenWrt е System > Backup / Flash Firmware; на OPNsense тоа е System > Configuration > Backups, што исто така ги задржува претходните ревизии на кои можете да се вратите без датотека. Сѐ уште не обновувате ништо. Проверуваш дали таа страница се отвора од патеката што ќе ја имаш при промената, дали сака да се рестартира потоа и дали одбива архива напишана од различно издание на фирмверот. Netgate го документира сопствениот извоз и го обновува протокот на docs.netgate.com.

Враќањето ја заменува целата конфигурација, така што не е поништување за едно правило. Архивата носи корисници, сертификати, клучеви VPN, правила за заштитен ѕид и поставки за административниот интерфејс кои одлучуваат кој може да се најави. Затоа извезувам веднаш пред промената и ја именувам датотеката со датумот и единствената поставка што сакам да ја допрам. Враќањето на датотека стара месец, исто така, враќа тунел стар месец и клуч стар месец.

Ако платформата вчитува архиви само од истото издание, забележете го сега: надградбата на фирмверот плус уредувањето VPN во еден прозорец остава да држите датотека што рутерот нема да ја прифати.

Докажете начин во кој го прескокнува тунелот

Втората SSH сесија од истиот лаптоп до истата јавна адреса не е втор пат; и двајцата умираат заедно. Независната патека е една од овие: сериска или KVM конзола, хипервизор или облак конзола, управување со VLAN достапно од домаќин што не е зад тунелот, втор WAN или LTE модем со свое административно правило или лице на локацијата.

Тестирајте ја избраната патека додека рутерот е здрав. Најавете се преку неа, отворете ја страницата VPN и застанете пред да зачувате. Ако правилото за заклучување дозволува само да стигне до контролната табла, сѐ уште имате време да го поправите тоа, а корекцијата треба да стои над правилото за одбивање во редоследот на правилата.

Повеќето рутери ја врзуваат административната услуга со интерфејс или семејство адреси, така што рутата надвор од опсегот мора да пристигне таму каде што таа услуга слуша. Проширувањето на врзувањето за прозорецот функционира, но самото тоа е промена на патеката од која зависите.

Извезете ја датотеката и напишете го активирањето

Поместете го извозот од рутерот и од машината што може да го изгуби тунелот. Резервната копија зачувана на датотечниот систем на рутерот исчезнува токму во неуспехот што го планирате, а онаа што седи на лаптопот што ќе ја изгуби врската е едвај подобра.

Третирајте ја таа датотека како акредитив. Чува приватни клучеви, претходно споделени тајни, материјал за сертификати и хаш на лозинки, па шифрирајте го или складирајте го со исто внимание како и најавувањето на рутерот.

Потоа напишете една реченица: ако не можам да отворам нова сесија за управување од PATH во рок од N минути од промената, ја враќам FILE и се рестартирам. Реченицата го принудува опсегот да се сведе на една променлива. Уредувањата на маршрутата, DNS и заштитниот ѕид извршени заедно брзо се зачувуваат и бавно се преполовуваат кога ќе добиете уште еден обид.

Користете тајмер за извршување каде што платформата има таков

Неколку платформи ќе ви ја поништат промената доколку не успеете да ја потврдите. Безбедниот режим на RouterOS, внесен со Ctrl+X во терминал, ги враќа промените направени во таа сесија кога сесијата ќе падне. Junos враќа потврдено непотврдено извршување. Cisco IOS паровите повторно се вчитуваат со повторно вчитување откажување. Заштитните ѕидови на претпријатијата најчесто поставуваат промени во очекување со тајмер за автоматско враќање. OpenWrt и повеќето потрошувачки фирмвер немаат ништо еквивалентно, така што тајмерот мора да биде надворешен: закажано обновување, cron работа што ја заменува датотеката назад и ја рестартира услугата или рестартирање во претходната конфигурација.

Не претпоставувајте слично именувана карактеристика го покрива истиот опсег. Автоматското враќање на еден производ може да опфаќа само правила за заштитен ѕид; друг може да ја покрие целата конфигурација, вклучувајќи го и правилото за управување што штотуку го променивте за да бидете достапни. Прочитајте што враќа тајмерот пред да се потпрете на него.

Тајмерот не е замена за извезената датотека. Не успева во случајот што е најважен овде: сесијата опстојува, авионот за управување не, и ништо никогаш не го активира враќањето.

Тестирајте сосема нова врска, а не отворена

Воспоставената сесија често продолжува да работи преку промени кои го блокираат секое ново ракување, бидејќи неговата состојба веќе постои и политиката се оценува кога ќе се создаде врска. По промената, креирајте нови врски од оддалечената страна: нова SSH сесија, ново ракување VPN од клиент, нормално вчитување на страницата до LAN адресата на рутерот.

# run these from the remote machine, in a new shell
ssh -o ConnectTimeout=8 admin@"$ROUTER_WAN"
nc -vz "$ROUTER_WAN" 443
dig +short example.internal "@$ROUTER_LAN"

Потоа тестирајте низводно од тунелот наместо самиот тунел: резолуција на името, TCP врска со внатрешна услуга и апликацијата што всушност ја користите. Тунелот што воспоставува, но не дава употреблив DNS, изгледа здраво во статусот на клиентот и скршен во прелистувачот, а таа разлика одлучува дали ќе ја вратите датотеката или ќе поправите едно правило.

Повторете по присилно исклучување и повторно поврзување, и уште еднаш по рестартирање ако платформата повторно ја примени состојбата при подигање. Некои конфигурации го поминуваат секој тест во живо и не успеваат при првото подигање со новите правила.

Затворете ги вратите што ги отворивте за прозорецот

Отстранете го привременото правило за администратор од кој било извор, сметката за отфрлање, проширеното врзување, дозволеното правило DNS и евиденцијата за отстранување грешки. Тоа отстранување е само по себе промена на патеката од која зависите, затоа повторете го тестот за свежо поврзување по него, од оддалечената страна.

Чувајте ја извезената датотека додека промената не преживее рестартирање и повторно поврзување на вистински клиент, а потоа ротирајте сѐ што сте споделиле додека прозорецот бил отворен. Конфигурацијата што работи до следното подигање е тивок начин да се изгуби рутер една недела подоцна, кога никој не се сеќава кое правило е привремено.

Запишете ја промената каде изгледа следното лице: што е преместено, која датотека ја поништува, која патека стигнува до конзолата и кое правило било привремено.

Пред да ја отворите страницата VPN, мора да постојат четири работи: проток на обновување што сте го тестирале, втора патека што сте ја докажале, извезена датотека што всушност можете да ја достигнете и пишан активирач. Ако некој недостасува, прво поправете го. Промената може да почека еден час; заклучување не може.