Kif tirriporta lura b'mod sigur il-konfigurazzjoni ta' server VPN

Ir-riport lura ta' server hija deċiżjoni dwar liema saff falla, mhux eżerċizzju ta' kopja ta' fajls. Il-konfigurazzjoni, il-kredenzjali u l-verżjonijiet tal-pakketti jimxu fuq arloġġi separati, u li tirrestawra waħda waqt li l-oħrajn jibqgħu aġġornati tipproduċi host li jidher b'saħħtu u jġib ruħu b'mod inkonsistenti. Is-sekwenza hawn taħt tassumi li bidla diġà marret ħażin u titlob li tirrestawra l-iżgħar stat koerenti. Mexxi minnha bl-ordni, u qis il-verifika tal-aċċess barra mill-banda bħala l-pass li ħadd m'għandu jaqbeż.

Ħu punt ta' kontroll li tassew tista' tirrestawra

Irreġistra l-konfigurazzjoni li s-servizz jaqra fl-ibbrejkjar, flimkien mal-verżjoni li analizzatha l-aħħar. Fajl li tgħabba nadif f'verżjoni eqdem jista' jiġi miċħud jew injorat bil-kwiet wara aġġornament, għalhekk il-verżjoni tappartjeni għall-istess nota. Daħħal il-materjal li l-konfigurazzjoni tindika lejh: ċavetta privati, mogħdijiet taċ-ċertifikati, definizzjonijiet tas-semmiegħa u d-dħul tad-DNS u tal-ħajt tan-nar li jagħmlu s-servizz aċċessibbli. Jekk restawr ikun jeħtieġ fajl li ma salvajtx, il-punt ta' kontroll mhuwiex komplut.

Semmi s-sid ta' kull konfigurazzjoni waqt li s-sistema għadha b'saħħitha. Rotta installata mill-pannell tal-fornitur, waħda miżjuda mill-ħajt tan-nar tal-host u oħra mibgħuta lill-klijenti huma tliet oġġetti differenti, u r-restawr tal-ħażina jħalli t-tnejn l-oħra fil-post tagħhom. Tabella qasira ta' konfigurazzjoni, sid u mogħdija tal-fajl hija biżżejjed.

Żomm ir-revoki separati mill-konfigurazzjoni

Konfigurazzjoni qadima tista' bil-kwiet terġa' tgħaqqad apparat li neħħejt apposta, li jbiddel irkupru f'rigressjoni tas-sigurtà. Ippreserva l-lista tar-revoki attwali u l-kontijiet diżattivati waqt li tirrestawra l-politika tan-netwerk, imbagħad erġa' applikaħom qabel ma s-servizz jaċċetta klijenti.

Qis l-istat tal-identità bħala riport lura tiegħu stess bl-evidenza tiegħu. Il-fajls tar-revoka taċ-ċertifikati, id-diżattivazzjoni tal-kontijiet u r-reġistrazzjoni tal-MFA rari jgħixu fl-istess post bħall-konfigurazzjoni tad-daemon, u restawr tal-konfigurazzjoni mhu se jmisshom. Iċċekkja l-istat attwali l-ewwel biex tkun taf x'għandu jibqa'. Wara r-restawr, ikkonferma li l-identità mneħħija għadha ma tistax tikkonnettja.

Ilħaq il-host meta t-tunnel ifalli

Iftaħ mogħdija lejn il-magna li ma tiddependix mill-komponent li qed jinbidel. Konsola tal-hypervisor, indirizz ta' amministrazzjoni fuq interface separata jew konsola serjali kollha jikkwalifikaw; sessjoni SSH miġjuba mit-tunnel le. Jekk l-unika triq 'il ġewwa hija l-VPN li se terġa' tibda, rotta jew regola tal-ħajt tan-nar ħażina tneħħilek il-kapaċità li tikkoreġiha. Ipprova t-triq alternattiva qabel il-bidla, mhux wara. Idħol darba minnha, ikkonferma li sudo jaħdem u noti l-indirizz eżatt li użajt.

It-test huwa sempliċi: niżżel it-tunnel waqt li tkun konness mit-triq alternattiva u ara jekk is-sessjoni tissopravvix. Jekk taqa', sibt il-ħsara qabel ma tista' tħallik mitluq.

Applika reviżjoni waħda u kun af meta tidħol fis-seħħ

Uża d-dokumentazzjoni tas-servizz għal reload jew restart u sib liema direttivi jinqraw f'liema mument. Xi valuri japplikaw fuq reload, oħrajn biss meta jibda sessjoni jew proċess ġdid, għalhekk l-editjar ta' fajl ma jipprova xejn dwar l-istat li qed jaħdem. Irrestawra reviżjoni waħda minflok tħallat fajl ġdid ma' stat ta' eżekuzzjoni qadim. F'każ ta' dubju, restard sħiħ tas-servizz huwa eħfef biex wieħed jirraġuna dwaru minn reload parzjali.

Iċċekkja d-definizzjoni tal-unit qabel tagħżel: systemctl show -p ExecReload openvpn@server jgħidlek jekk teżistix hook tar-reload. Imbagħad applika r-reviżjoni u aqra l-ġurnal għall-ewwel żbalji ġodda qabel ma tbiddel xi ħaġa oħra.

Ivverifika, irreġistra u investiga wara

Qabbad klijent awtorizzat wieħed u eżerċita li għal xiex is-servizz: riżoluzzjoni tal-ismijiet, konnessjoni mill-ġdid u l-applikazzjoni li fallew. Ikkonferma li l-identità revokata għadha tiġi miċħuda. Irreġistra r-reviżjoni li rrestawrajt, il-ħin u r-raġuni, għax l-operatur li jmiss ikollu bżonn it-tlieta. Riport lura li ħadd ma ddokumenta jsir misteru l-ħin li jmiss li s-servizz iġib ruħu ħażin.

systemctl status openvpn@server --no-pager
journalctl -u openvpn@server -n 50 --no-pager

Ladarba s-servizz ikun stabbli, riproduċi l-bidla li falliet fuq host jew snapshot li tista' tarmi. Dan jifred konfigurazzjoni ħażina minn pakkett ħażin jew ċertifikat skadut. Żomm il-konfigurazzjoni rrestawrata taħt kontroll tal-verżjonijiet sabiex il-punt ta' kontroll li jmiss jibda minn commit magħruf. Il-punt tal-eżerċizzju huwa punt finali ddokumentat, mhux degradazzjoni permanenti.