VPN серверийн хяналтгүй шинэчлэлтэд туршсан сэргээх зам хэрэгтэй
Шинэчлэлт нь серверт хүрэхэд ашигладаг үйлчилгээг өөрөө дахин эхлүүлж болно. Автоматжуулахаас өмнө гаднах консолыг зөвхөн туннелээр сэргээх төлөвлөгөөтэй харьцуулна уу.
Хяналтгүй шинэчлэлт нь өөрийн VPN-ээр хүрдэг серверт тохиромжтой бодлого бөгөөд нэгэн адил өөрөө үүсгэсэн ганц алдааны цэг юм. Багц үйлдэл үйлчилгээг дахин эхлүүлж, туннель унаж, таны ашиглаж байсан захиргааны зам түүнтэй хамт алга болно. Сэргээх хоёр загвар байдаг бөгөөд тэдгээрийн хоорондын сонголт нэг нөхцөлөөс хамаарна: танд шинэчлэгдэж буй зүйлээр дамждаггүй нэвтрэх зам байна уу.
Сэргээх хоёр загвар, нэг шийдвэрлэх нөхцөл
Эхний загвар шинэчлэлтэд итгэж, дараа нь дахин холбогдоно гэж үздэг. Энэ нь VPN нь хост руу хүрэх хэд хэдэн аргын нэг бөгөөд туннелийн эвдрэл түүнийг оношлох чадварыг тань хураахгүй үед ажилладаг. Хоёр дахь загвар нь урьдчилан бие даасан зам, ихэвчлэн хостингийн нийлүүлэгчийн консолыг байрлуулж, туннелийг засвар үйлчилгээ хамгийн их эвдэх зүйл гэж үздэг. Хоёр загвар хоёулаа хамгаалах боломжтой бөгөөд зөвхөн нэг нь урьдчилсан ажил шаарддаг.
Шийдвэрлэх нөхцөлийг хэлэхэд хялбар, орхиход ч хялбар. Хэрэв машин руу хүрэх бүх захиргааны зам шинэчлэгдэж буй үйлчилгээгээр дамждаг бол танд сэргээх загвар огт байхгүй, зөвхөн хүлээлт байна. Үүнийг өөрчлөлтийн хяналтад чанга дуугаар хэлээрэй.
Тэр нөхцөлийг шалгахад арван минут шаардагдах бөгөөд энэ нь анхны хяналтгүй шинэчлэлтийн өмнө, ослын үеэр биш, болох ёстой. Бүх зүйл ажиллаж байхад консолыг нээж, нэвтрэх мэдээлэл хүчинтэй эсэхийг баталж, дахин хаа. Консол таны бодож буй хост дээр нээгдэж байгааг батал. Дараа нь шөнийн 3 цагт таны үнэхээр ашиглах нэвтрэлт ажиллаж байгаа эсэхийг батал.
Сүүлийн хэсэг нь сонсогдохоос илүү чухал. Зургаан сарын өмнө нууц үг солигдож, хэзээ ч баталгаажаагүй консолын бүртгэл нь сэргээх зам биш; энэ нь ийм замыг тодорхойлсон баримт бичиг юм.
Нөөц хуулбар юуг сэргээхгүй вэ
Тохиргооны архив нь файлын бүртгэл бөгөөд шинэчлэлт файлаас илүү зүйлийг өөрчилдөг. Багцын төлөв, цөмийн модуль, идэвхжсэн нэгжийн холбоос, тусдаа хэрэгслээр хэрэгжүүлсэн галт хананы дүрэм бүгд тохиргооны хавтасны гадна амьдардаг бөгөөд тэдгээрийг үл тоомсорлосон сэргээлт нь тохируулагдсан мэт харагдах боловч дамжуулдаггүй машин үүсгэдэг.
| What changed | Restored by a configuration backup | Needs its own action |
|---|---|---|
| Service unit or startup ordering | Partly, if the unit file was included | Package state and enabled links |
| Kernel module or interface support | No | Kernel or module rollback, or a boot-time decision |
| Peer or device authorization | Only if the backup predates the revocation | A deliberate decision about which peers return |
| Firewall rules applied outside the config | Only if they were captured | Replaying and verifying each rule |
Зөвшөөрөл нь өөрийн гэсэн мөрөнд хүртэх ёстой. Эвдэрсэн төхөөрөмжийг арилгахаас өмнө авсан хуулбар тэр төхөөрөмжийн нэвтрэх эрхийг баяртайгаар сэргээнэ. Тасалдлын үеэр түүн рүү буцах нь нэг осол хоёр осол болох зам бөгөөд сэргээх шийдвэрийг файлын талаар хэдий чинээ тодорхой бол, түншүүдийн талаар ч мөн адил тодорхой гаргах ёстой.
Буцаах механизм нь ч бас чухал. Хуучин гүйцэтгэх файлыг багцаар удирдуулсан файл дээр хуулах нь багцын өөрчлөлтийг буцаах дэмжигдсэн арга биш бөгөөд багцын мэдээллийн санг файлын системд тохирохгүй төлөвийг тодорхойлсоор үлдээдэг. Багц менежерийн өөрийн хувилбар буулгах зам эсвэл нийлүүлэгчийн санал болгосон агшин зураг ашиглана уу. Багцын мэдээллийн санд бүртгэгдсэн буулгалтыг та давтаж болно.
Эдгээрийн аль нь ч нөөц хуулбарын эсрэг биш. Энэ нь артефакт бүр ямар давхаргыг хамарч байгааг мэдэхийн төлөө бөгөөд хэсэгчилсэн сэргээлтийн алдааны хэлбэр анхны тасалдлаас илүү төөрөгдүүлдэг. Runbook-д хуулбар бүрийн хажууд давхаргыг бичээрэй.
Хяналтын цэг, шинэчлэлт, дараа нь гаднаас баталгаажуулалт
Өөрчлөлтийн өмнөх төлөвийг дараа нь харьцуулж болох хэлбэрээр бүртгэ: суулгасан хувилбарууд, холбогдох үйлчилгээний нэгжүүд, сонсож буй сокетууд, одоогийн түншийн жагсаалт. Linux хост дээр дөрвөн команд үүний ихэнхийг хамардаг.
systemctl list-units --type=service | grep -E 'openvpn|wg-quick'
ss -lunp | grep -E ':51820|:1194'
journalctl -u wg-quick@wg0 --since '-10 min'Эхнийх нь ямар нэгж байгаа, ажиллаж байгаа эсэхийг харуулж, хоёр дахь нь сонсогч үнэхээр холбогдсоныг баталж, гурав дахь нь сүүлийн хэдэн минутын талаар үйлчилгээний өөрийн тайлбарыг өгдөг. Аль нь ч клиент холбогдох боломжтойг батлахгүй тул дараагийн алхам хостны гадна болдог. Тэдгээр уншилтыг харьцуулалтын суурь болгон хадгал.
Туннель ашигладаггүй сүлжээнээс баталгаажуул: нэг зөвшөөрөгдсөн клиентийг таниулж, нэрийг шийдэж, нэг зорилтот програмот хүр. Интерфейс өргөгдсөн гэсэн локал төлөвийн мөр нь интерфейсийн тухай мэдэгдэл бөгөөд чиглүүлэлт, түлхүүр эсвэл түншийг хүлээн авах бодлогын тухай биш.
Дараа нь дахин холбогдох замыг санаатайгаар турш. Үйлчилгээг нэг удаа дахин эхлүүлж, туннель гар аргаар оролцохгүйгээр эргэж ирж байгааг батал, учир нь зөвхөн ачаалах үед зөв эхэлдэг үйлчилгээ нь таныг хамгийн муу мөчид гайхшруулна.
Амжилтгүй болвол туршсан замаа ашигла
Сэргээх дараалал нь гоёмсог биш бөгөөд ажилладаг: хост руу бие даасан замаар хүрч, үйлчилгээний өөрийн логыг уншиж, алдаанд тохирох тодорхой хяналтын цэгийг сэргээ. Оролдлого бүрт нэг зүйлийг өөрчил, тэгвэл дараагийн лог уншилт утга учиртай болно.
Холболтыг буцааж авахын тулд хэд хэдэн бүртгэгдээгүй өөрчлөлт хийх хүслийг эсэргүүц. Таван зэрэг засвараар зассан машиныг дараа нь тайлбарлах боломжгүй бөгөөд дараагийн шинэчлэлт ачааллыг үнэхээр үүрч байсан өөрчлөлтийг дахин оруулна.
Дараа нь нотолгоотойгоор байнгын бодлогыг шийд. Хэрэв шинэчлэлт хэн ч баримтжуулаагүй хамаарлыг илрүүлсэн бол засвар нь баримт бичиг, тест бөгөөд шинэчлэлтийг унтраах биш. Хэрэв цэвэрхэн дахин эхэлж чадахгүй үйлчилгээг илрүүлсэн бол засвар нь нэгжид, хуваарьт биш.
Нөхцөл нэрлэгдсэн даруйд харьцуулалт цэвэр шийдэгдэнэ. Бие даасан зам нь хяналтгүй шинэчлэлтийг удирдаж болох эрсдэл болгоно. Үүнгүй байх нь мөнөөх бодлогыг сэргээх хугацаа тодорхойгүй төлөвлөсөн тасалдал болгож, ямар ч автоматжуулалт энэ арифметикийг өөрчлөхгүй.