Sediakan Laluan Pemulihan Bersiri Sebelum Menukar VPN di GCE

Tetingkap SSH kedua pada antara muka yang sama bukan laluan pemulihan. Ia berkongsi laluan, peraturan firewall dan daemon yang anda akan tukar, jadi ia gagal tepat pada saat anda memerlukannya. Sebelum mengedit laluan VPN pada VM Compute Engine, buktikan tiga perkara berasingan: bahawa anda boleh menggunakan konsol bersiri, bahawa anda boleh membaca outputnya, dan bahawa tetamu benar-benar akan memberi anda log masuk. Semakan di bawah berjalan dalam urutan itu, paling murah dahulu, supaya kebenaran yang hilang ditemui sebelum ia penting.

Langkah 1: sahkan kebenaran di sebelah awan

Namakan VM, projek dan zon yang tepat, kemudian semak dasar akses bersiri yang diluluskan organisasi. Pentadbir memerlukan kebenaran berkaitan, dan akses bersiri interaktif mesti didayakan untuk instans itu di bawah kawalan projek dan organisasi yang berkuat kuasa.

Jangan lemahkan dasar organisasi atau hidupkan akses konsol untuk seluruh projek semata-mata untuk menyediakan satu mesin. Minta pemilik mengatur mekanisme yang dibenarkan sebelum eksperimen, bukan semasa gangguan.

Langkah 2: buktikan anda boleh membaca output

Membaca output bersiri ialah semakan paling murah, dan ia melatih pengangkutan tanpa menyentuh log masuk tetamu:

gcloud compute instances get-serial-port-output VM_NAME \
    --project PROJECT_ID --zone ZONE --port 1

Gantikan pengecam dan gunakan port yang dibenarkan. Mesej but dan celoteh konsol memberitahu anda saluran berfungsi. Ia tidak membuktikan anda boleh mendapatkan shell. Itulah sebabnya langkah ini berasingan daripada yang seterusnya.

Langkah 3: buktikan anda boleh mendapatkan log masuk interaktif

Perintah sambungan membuka sesi sebenar, bukan pratonton:

gcloud compute connect-to-serial-port VM_NAME \
    --project PROJECT_ID --zone ZONE --port 1

Layaninya sebagai konsol hidup. Sahkan titik akhir sebelum menaip kelayakan, kerana setiap ketukan kekunci mendarat pada instans.

Di sinilah pelan yang kelihatan lengkap runtuh. Kebenaran awan ialah satu sempadan dan gesaan log masuk Linux ialah satu lagi, dan melepasi yang pertama tidak memberitahu apa-apa tentang yang kedua.

Langkah 4: sediakan kelayakan yang akan diterima tetamu

Imej Linux yang disediakan Google tidak mendayakan log masuk setempat berasaskan kata laluan secara lalai. Oleh itu sesi bersiri boleh sampai ke gesaan log masuk dan berhenti di situ, menunggu kelayakan yang tiada siapa tetapkan.

Akaun pemulihan yang diluluskan, atau apa-apa kaedah log masuk tetamu berdokumen yang digunakan oleh penggunaan anda, mesti wujud dan diuji. Kunci SSH yang berfungsi melalui rangkaian tidak memenuhi gesaan kata laluan konsol secara automatik, jadi semak susunan OS Login dan kunci sebenar daripada menganggapnya meliputi kes ini.

Simpan kelayakan pemulihan secara peribadi. Kata laluan root yang ditampal dalam contoh startup-script awam ialah insiden kedua yang menunggu berlaku.

Langkah 5: rekod pemilik dan pembalikan

Sebelum menukar apa-apa, kekalkan konfigurasi rangkaian yang berfungsi dan tulis siapa yang menguruskannya, perkhidmatan VPN mana yang terlibat dan bagaimana pembalikan dilakukan. Daripada sesi yang berfungsi, rakam laluan, peraturan dan keadaan perkhidmatan semasa.

Rekod itulah yang menjadikan saluran pemulihan sebagai pembaikan, kerana konsol hanya memberi anda gesaan. Tuliskannya sebelum perubahan, bukan kemudian daripada ingatan. Pembalikan yang disalin daripada wiki bukan pembalikan. Ia tekaan dengan nombor versi.

Langkah 6: sahkan selepas perubahan

Sesi SSH sedia ada boleh bertahan daripada dasar yang menyekat yang baharu, jadi uji dengan sesi pentadbiran normal yang baharu. Kemudian uji tingkah laku VPN yang anda ubah secara berasingan.

Biarkan saluran pemulihan terbuka sehingga kedua-dua semakan lulus, dan tutupnya mengikut dasar akses selepas itu. Jika SSH sudah hilang dan tiada log masuk konsol disediakan, berhenti menganggap akses bersiri sebagai jaring keselamatan dan mulakan aliran kerja pemulihan akaun atau pembaikan instans yang dibenarkan. Mendirikan VM lain sebagai jump host tidak membaiki laluan tetamu mahupun kelayakan yang hilang.