GCE-ийн VPN өөрчлөлтийн өмнө цуваа сэргээх зам бэлдээрэй

Compute Engine VM дээр VPN маршрут өөрчлөх нь таныг гадаа түгжиж болно. Маршрутад хүрэхээс өмнө үүлний зөвшөөрөл, цуваа гаралт, зочны нэвтрэлтийг батал.

Нэг интерфейс дээрх хоёр дахь SSH цонх нь сэргээх зам биш. Энэ нь таны өөрчлөх гэж буй маршрут, галт хананы дүрэм, демоныг хуваалцдаг тул яг танд хэрэгтэй мөчид бүтэлгүйтдэг. Compute Engine VM дээр VPN маршрутыг засахын өмнө гурван тусдаа зүйлийг батлаарай: цуваа консол ашиглаж болох, түүний гаралтыг уншиж болох, зочин танд үнэхээр нэвтрэлт өгөх. Доорх шалгалтууд энэ дарааллаар, хамгийн хямдаас эхэлдэг тул дутуу зөвшөөрөл чухал болохоос өмнө илэрдэг.

1-р алхам: үүлний талын зөвшөөрлийг батал

Яг VM, төсөл, бүсийг нэрлэж, дараа нь байгууллагын баталсан цуваа нэвтрэх бодлогыг шалга. Администраторт холбогдох зөвшөөрөл хэрэгтэй бөгөөд мөрдөгдөж буй төсөл, байгууллагын хяналтын дор тухайн инстансд интерактив цуваа нэвтрэх боломжийг идэвхжүүлсэн байх ёстой.

Нэг машин бэлтгэхийн тулд байгууллагын бодлогыг сулруулж, эсвэл бүх төсөлд консолын нэвтрэлтийг асааж болохгүй. Эзэмшигчээс зөвшөөрөгдсөн механизмыг туршилтаас өмнө зохион байгуулахыг хүс, тасалдлын үеэр биш.

2-р алхам: гаралтыг уншиж чадахыг батал

Цуваа гаралтыг унших нь хамгийн хямд шалгалт бөгөөд зочны нэвтрэлтэд хүрэхгүйгээр тээврийг дасгалжуулдаг:

gcloud compute instances get-serial-port-output VM_NAME \
    --project PROJECT_ID --zone ZONE --port 1

Тодорхойлогчийг сольж, зөвшөөрөгдсөн портыг ашигла. Ачаалах мессеж, консолын яриа нь суваг ажиллаж байгааг хэлдэг. Гэхдээ та shell авч чадна гэдгийг батлахгүй. Тиймээс энэ алхам дараагийнхаас тусдаа.

3-р алхам: интерактив нэвтрэлт авч чадахыг батал

Холболтын команд нь урьдчилан харах биш, бодит сесс нээдэг:

gcloud compute connect-to-serial-port VM_NAME \
    --project PROJECT_ID --zone ZONE --port 1

Үүнийг амьд консол гэж үз. Итгэмжлэлийг бичихээс өмнө төгсгөлийн цэгийг батал, учир нь товчлол бүр инстанс дээр буудаг.

Бүрэн мэт санагдсан төлөвлөгөө энд нуран унадаг. Үүлний зөвшөөрөл нь нэг хил, Linux-ийн нэвтрэх шаардлага нь өөр нэг хил бөгөөд эхнийг давсан нь хоёр дахь тухай юу ч хэлэхгүй.

4-р алхам: зочин хүлээн авах итгэмжлэлийг бэлтгэ

Google-ийн өгдөг Linux дүрсүүд анхдагчаар локал нууц үгээр нэвтрэхийг идэвхжүүлдэггүй. Тиймээс цуваа сесс нэвтрэх шаардлагад хүрээд тэнд зогсож, хэн ч тохируулаагүй итгэмжлэлийг хүлээж болно.

Батлагдсан сэргээх бүртгэл, эсвэл таны байршуулалт ашигладаг баримтжуулсан зочны нэвтрэлтийн арга байх ёстой бөгөөд туршигдсан байх ёстой. Сүлжээгээр ажилладаг SSH түлхүүр нь консолын нууц үгийн шаардлагыг автоматаар хангахгүй тул энэ тохиолдлыг хамардаг гэж үзэхийн оронд бодит OS Login болон түлхүүрийн зохицуулалтыг шалга.

Сэргээх итгэмжлэлийг нууц байлга. Нийтийн startup-script жишээнд наасан root нууц үг болохыг хүлээж буй хоёр дахь тохиолдол.

5-р алхам: эзэмшигч болон буцаалтыг бүртгэ

Ямар нэг зүйлийг өөрчлөхөөс өмнө ажиллаж буй сүлжээний тохиргоог хадгалж, хэн удирддагийг, аль VPN үйлчилгээ оролцож буйг, буцаалт хэрхэн хийгддэгийг бич. Ажиллаж буй сессээс одоогийн маршрут, дүрэм, үйлчилгээний төлөвийг ав.

Яг тэр бүртгэл нь сэргээх сувгийг засвар болгон хувиргадаг, учир нь консол танд зөвхөн шаардлага өгдөг. Үүнийг өөрчлөлтөөс өмнө бич, дараа нь ой санамжаас биш. Wiki-ээс хуулсан буцаалт бол буцаалт биш. Энэ нь хувилбарын дугаартай таамаг.

6-р алхам: өөрчлөлтийн дараа шалга

Одоо байгаа SSH сесс шинэ сессийг блоклох бодлогыг даван туулж чаддаг тул шинэ энгийн администрацийн сессээр турш. Дараа нь өөрчилсөн VPN зан төлөвийг тусад нь турш.

Хоёр шалгалт тэнцэх хүртэл сэргээх сувгийг нээлттэй байлгаж, дараа нь нэвтрэх бодлогын дагуу хаа. Хэрэв SSH аль хэдийн алдагдсан бөгөөд консолын нэвтрэлт бэлтгэгдээгүй бол цуваа нэвтрэлтийг аюулгүйн тор гэж үзэхээ болиод зөвшөөрөгдсөн бүртгэл сэргээх эсвэл инстанс засах ажлын урсгалыг эхлүүл. Өөр VM-ийг jump host болгон босгох нь зочны замыг ч, дутуу итгэмжлэлийг ч засахгүй.

Холбоотой нийтлэлүүд