Cara Merancang Rollback VPN Penghala Sebelum Perubahan Jauh

Anda akan mengedit terowong yang membawa sesi anda sendiri, jadi kerja yang menyelamatkan anda berlaku sebelum perubahan, bukan semasa perebutan selepasnya. Jaringan keselamatan tiada pada halaman VPN: ia ialah skrin pemulihan, konsol atau laluan kedua yang tidak berjalan melalui peranti yang anda edit. Saya merancang ketiga-tiganya pada antara muka penghala yang sama yang akan saya edit, dan saya menggunakan laluan itu sekali semasa semuanya masih berfungsi. Ini adalah panduan yang saya ikuti, mengikut urutan.

Ikuti aliran pemulihan sebelum anda memerlukannya

Buka halaman yang akan membuat asal perubahan anda. Pada pfSense iaitu Diagnostik > Sandaran & Pemulihan; pada OpenWrt ia ialah Sistem > Sandaran / Perisian Tegar Kilat; pada OPNsense ia ialah Sistem > Konfigurasi > Sandaran, yang juga menyimpan semakan sebelumnya yang boleh anda kembalikan tanpa fail. Anda belum memulihkan apa-apa lagi. Anda sedang menyemak sama ada halaman itu dibuka dari laluan yang anda akan ada semasa perubahan, sama ada halaman itu mahu but semula selepas itu dan sama ada halaman itu menolak arkib yang ditulis oleh keluaran perisian tegar yang berbeza. Netgate mendokumenkan aliran eksport dan pemulihannya sendiri di docs.netgate.com.

Pemulihan menukar keseluruhan konfigurasi, jadi ia bukan buat asal untuk satu peraturan. Arkib membawa pengguna, sijil, kunci VPN, peraturan tembok api dan tetapan antara muka pentadbir yang menentukan siapa yang boleh log masuk. Itulah sebabnya saya mengeksport serta-merta sebelum menukar dan menamakan fail dengan tarikh dan tetapan tunggal yang saya ingin sentuh. Memulihkan fail berusia sebulan juga memulihkan terowong berusia sebulan dan kunci berusia sebulan.

Jika platform hanya memuatkan arkib daripada keluaran yang sama, ambil perhatian sekarang: peningkatan perisian tegar serta pengeditan VPN dalam satu tetingkap meninggalkan anda memegang fail yang tidak akan diterima oleh penghala.

Buktikan cara melangkau terowong

Sesi SSH kedua daripada komputer riba yang sama ke alamat awam yang sama bukanlah laluan kedua; kedua-duanya mati bersama. Laluan bebas ialah salah satu daripada ini: konsol bersiri atau KVM, hipervisor atau konsol awan, VLAN pengurusan yang boleh dicapai daripada hos yang tidak berada di belakang terowong, modem WAN atau LTE kedua dengan peraturan pentadbirannya sendiri atau orang di tapak.

Uji laluan yang dipilih semasa penghala sihat. Log masuk ke atasnya, buka halaman VPN, dan berhenti sebelum menyimpan. Jika peraturan penguncian hanya membenarkan peraturan itu sampai ke papan pemuka, anda masih mempunyai masa untuk membetulkannya dan pembetulan perlu diletakkan di atas peraturan penafian dalam susunan peraturan.

Kebanyakan penghala mengikat perkhidmatan pentadbir kepada antara muka atau keluarga alamat, jadi laluan luar jalur perlu tiba di tempat perkhidmatan itu mendengar. Melebarkan pengikatan untuk tetingkap berfungsi, tetapi ia sendiri merupakan perubahan kepada laluan yang anda bergantung.

Eksport fail dan tulis pencetus

Alihkan eksport dari penghala dan dari mesin yang mungkin kehilangan terowongnya. Sandaran yang disimpan pada sistem fail penghala hilang tepat pada kegagalan yang anda rancangkan, dan satu sandaran yang tersimpan pada komputer riba yang hampir terputus sambungan hampir tidak lebih baik.

Anggap fail itu sebagai bukti kelayakan. Ia memegang kunci peribadi, rahsia prakongsi, bahan sijil dan cincang kata laluan, jadi menyulitkannya atau menyimpannya dengan penjagaan yang sama seperti log masuk penghala.

Kemudian tulis satu ayat: jika saya tidak boleh membuka sesi pengurusan baharu daripada PATH dalam masa N minit perubahan, saya memulihkan FILE dan but semula. Ayat memaksa skop turun kepada satu pembolehubah. Pengeditan laluan, DNS dan tembok api yang dilakukan bersama-sama cepat disimpan dan perlahan untuk dibahagikan apabila anda mendapat satu percubaan lagi.

Gunakan pemasa komit di mana platform mempunyai satu

Beberapa platform akan membuat asal perubahan untuk anda jika anda gagal mengesahkannya. Mod Selamat RouterOS, dimasukkan dengan Ctrl+X dalam terminal, mengembalikan perubahan yang dibuat dalam sesi itu apabila sesi jatuh. Junos menarik balik komitmen yang belum disahkan disahkan. Pasangan Cisco IOS memuat semula dengan membatalkan muat semula. Firewall perusahaan biasanya melakukan perubahan yang belum selesai dengan pemasa auto-balik. OpenWrt dan kebanyakan perisian tegar pengguna tidak mempunyai apa-apa yang setara, jadi pemasa mestilah luaran: pemulihan berjadual, tugas cron yang menukar fail kembali dan memulakan semula perkhidmatan, atau but semula ke konfigurasi sebelumnya.

Jangan menganggap ciri yang dinamakan serupa meliputi skop yang sama. Auto-return satu produk mungkin hanya meliputi peraturan firewall; yang lain mungkin meliputi keseluruhan konfigurasi, termasuk peraturan pengurusan yang baru anda ubah untuk memastikan diri anda boleh dihubungi. Baca perkara yang dibalikkan oleh pemasa sebelum anda bergantung padanya.

Pemasa bukan pengganti untuk fail yang dieksport. Ia gagal dalam kes yang paling penting di sini: sesi bertahan, pesawat pengurusan tidak, dan tiada apa pun yang mencetuskan kebalikan.

Uji sambungan baharu, bukan sambungan terbuka

Sesi yang mantap selalunya terus berfungsi melalui perubahan yang menyekat setiap jabat tangan baharu, kerana keadaannya sudah wujud dan dasar dinilai apabila sambungan dibuat. Selepas perubahan, buat sambungan baharu dari bahagian jauh: sesi SSH baharu, jabat tangan VPN baharu daripada pelanggan, pemuatan halaman biasa ke alamat LAN penghala.

# run these from the remote machine, in a new shell
ssh -o ConnectTimeout=8 admin@"$ROUTER_WAN"
nc -vz "$ROUTER_WAN" 443
dig +short example.internal "@$ROUTER_LAN"

Kemudian uji hiliran terowong dan bukannya terowong itu sendiri: resolusi nama, sambungan TCP ke perkhidmatan dalaman dan aplikasi yang sebenarnya anda gunakan. Terowong yang mewujudkan tetapi tidak memberikan DNS yang boleh digunakan kelihatan sihat dalam status klien dan rosak dalam penyemak imbas, dan perbezaan itu menentukan sama ada anda memulihkan fail atau membetulkan satu peraturan.

Ulangi selepas terpaksa memutuskan sambungan dan menyambung semula, dan sekali lagi selepas but semula jika platform menggunakan semula keadaan semasa but. Sesetengah konfigurasi melepasi setiap ujian langsung dan gagal pada but pertama dengan peraturan baharu yang ditetapkan.

Tutup pintu yang anda buka untuk tingkap

Alih keluar peraturan pentadbir sebarang sumber sementara, akaun buang, ikatan yang diluaskan, peraturan DNS yang permisif dan pengelogan nyahpepijat. Pengalihan keluar itu sendiri adalah perubahan pada laluan yang anda bergantung, jadi jalankan semula ujian sambungan baharu selepasnya, dari bahagian terpencil.

Simpan fail yang dieksport sehingga perubahan itu terselamat daripada but semula dan pelanggan sebenar disambung semula, kemudian putar apa sahaja yang anda kongsi semasa tetingkap dibuka. Konfigurasi yang berfungsi sehingga but seterusnya ialah cara yang senyap untuk kehilangan penghala seminggu kemudian, apabila tiada siapa yang mengingati peraturan yang bersifat sementara.

Tuliskan perubahan di mana orang seterusnya melihat: perkara yang dialihkan, fail mana yang membatalkannya, laluan mana yang sampai ke konsol dan peraturan mana yang bersifat sementara.

Sebelum anda membuka halaman VPN, empat perkara mesti wujud: aliran pemulihan yang telah anda uji, laluan kedua yang telah anda buktikan, fail eksport yang sebenarnya boleh anda capai dan pencetus bertulis. Jika ada yang hilang, betulkan dahulu. Perubahan boleh menunggu satu jam; lockout tidak boleh.