Заклучени надвор од вашиот VPN сервер: задржете втор пат внатре
Скршен тунел не треба да ви ја одземе и способноста да го поправите серверот. Планирајте, тестирајте и прегледајте независна административна патека пред да ви треба.
Ја отворате конзолата, менувате едно правило на огнениот ѕид и тунелот преку кој бевте поврзани исчезнува. Промената беше точна, повторното вчитување не, и сега единствената патека назад во машината е онаа што штотуку ја скршивте. Вториот пат внатре е дизајнерска одлука и мора да постои пред прекинот, а не за време на него.
Прегледајте што ви е уште достапно
Започнете од екранот на конзолата пред вас и наведете ги патеките што не зависат од тунелот. Веб-конзолата на давателот со сериска или VNC сесија е една. Интерфејсот за управување на одделна мрежа е друга. Физичкиот пристап е трет, и токму неговото отсуство луѓето го откриваат во најлошиот миг.
| Path | Depends on | Usually fails when |
|---|---|---|
| Provider console | Account access and the provider's own API | Credentials live in a wiki only reachable over the tunnel |
| Management subnet | A second interface and its own routing | The bad change was a global route or firewall policy |
| Second tunnel | A different listener, port and credentials | Both listeners were changed in the same edit |
| Physical or local console | Being in the building | Nobody has been in the building for a year |
Читајте ја третата колона како список на дефекти, а не како апстракција. Две од тие патеки обично откажуваат од истата причина. Табелата е начинот на кој тоа го забележувате пред прекинот да ви го објасни.
Независноста е прашање на зависности
Сметката за враќање не е независна ако нејзината лозинка е зачувана во услуга до која стигнувате преку тунелот. Втор VPN на истиот домаќин, истиот порт и истата политика на огнениот ѕид, исто така, не е независен, бидејќи промената што ја скрши првата ги крши двете.
Слезете по синџирот и именувајте што бара секој чекор. Мрежната достапност, разрешувањето имиња, изворот за автентикација и самата услуга за управување се четири одделни зависности, а патеката што дели која било од нив го наследува тој дефект.
Патеката што никогаш не е тестирана заслужува сопствена сомнеж. Конзола што не е отворена со месеци може да бара ресетирање на лозинка преку е-пошта, а тоа сандаче може да е хостирано на машината до која не стигнувате. Тестирајте ја патеката додека сѐ работи и тоа ќе го најдете едно мирно попладне.
Користете ја втората патека за една контролирана промена
Од конзолата земете снимка или копирајте ја конфигурацијата што ќе ја уредувате. Променете едно нешто. Повторно вчитајте ја услугата и прочитајте го резултатот пред да допрете нешто друго, бидејќи две промени одеднаш претвораат враќањето во експеримент.
Држете ја сесијата за враќање отворена додека го правите тоа. Целата вредност на втората патека е во тоа што таа го преживува она што го менувате, па со нејзиното прво затворање ја отстранувате единствената особина што ја правеше корисна.
Проверувајте од патеката за враќање, не од меморија
Проверката што е важна е дали нормалната патека се враќа, а сесијата за враќање е местото каде тоа го потврдувате по редослед:
systemctl status openvpn-server@server --no-pager ss -lntup | grep -E ':(1194|443)\b' nft list ruleset | sed -n '1,40p' journalctl -u openvpn-server@server --since '-10 min' --no-pager | tail -n 30
Прво прочитајте ја состојбата на услугата, потоа слушателот, потоа правилата, потоа дневникот. Услуга што работи без слушател упатува на конфигурацијата на услугата, додека слушател без достапни правила упатува на филтрирањето. Редоследот е важен бидејќи секој чекор го стеснува следниот, а скокот до дневникот обично значи читање грешки што го опишуваат симптомот, а не причината.
Документацијата на systemctl го опфаќа однесувањето на состојбата и рестартирањето што се користи овде, вклучително како неуспешното повторно вчитување го остава претходниот процес во работа. Враќањето на усогласена ревизија е подобро од постојаното повторно поврзување од клиент што не може да го поправи серверот. Ако условот за враќање што го дефиниравте пред промената е исполнет, вратете и запрете.
Одржувајте го инвентарот ажурен
Прегледајте го списокот за пристап кога се менуваат луѓето или инфраструктурата. Тестирајте ја патеката за враќање додека сѐ работи. Отстранете ги сметките што никој не ги користел од последната реорганизација. Две застарени сметки и еден истечен сертификат се мало чистење во вторник и прекин во недела.
Запишете кој може да ја користи секоја патека, што дозволува таа и како се менуваат акредитивите. Патека за враќање без сопственик станува заборавен влез, што е различен вид дефект од тоа да бидете заклучени надвор.