Kif tippjana t-tkebbib ta' Router VPN qabel Bidla mill-bogħod

Int waslet biex teditja l-mina li ġġorr is-sessjoni tiegħek stess, għalhekk ix-xogħol li jsalvak iseħħ qabel il-bidla, mhux waqt il-ġirja warajha. Ix-xibka tas-sigurtà mhix fuq il-paġna VPN: hija l-iskrin tar-restawr, console, jew it-tieni passaġġ li ma jgħaddix mill-apparat li qed teditja. Nippjana t-tlieta fuq l-istess interface tar-router li ser neditja, u nuża l-mogħdija darba waqt li kollox għadu jaħdem. Dan huwa l-passaġġ li nsegwi, fl-ordni.

Imxi l-fluss tar-restawr qabel ma jkollok bżonnha

Iftaħ il-paġna li tħassar il-bidla tiegħek. Fuq pfSense li huwa Dijanjostiċi > Backup & Restore; fuq OpenWrt huwa Sistema > Backup / Firmware Flash; fuq OPNsense hija Sistema> Konfigurazzjoni> Backups, li żżomm ukoll ir-reviżjonijiet preċedenti li tista’ terġa’ lura għalihom mingħajr fajl. Għadek m'int qed tirrestawra xejn. Qed tiċċekkja jekk dik il-paġna tinfetaħx mill-mogħdija li ser ikollok matul il-bidla, jekk tridx reboot wara, u jekk tirrifjutax arkivju miktub minn rilaxx differenti tal-firmware. Netgate jiddokumenta l-esportazzjoni tiegħu stess u jirrestawra l-fluss fuq docs.netgate.com.

Ir-restawr jibdel il-konfigurazzjoni kollha, u għalhekk mhuwiex undo għal regola waħda. L-arkivju jġorr utenti, ċertifikati, ċwievet VPN, regoli tal-firewall, u s-settings tal-interface tal-amministratur li jiddeċiedu min jista 'jilloggja. Huwa għalhekk li nesporta immedjatament qabel il-bidla u nsemmi l-fajl bid-data u l-issettjar uniku li beħsiebni tmiss. Ir-restawr ta 'fajl ta' xahar jirrestawra wkoll mina ta 'xahar u ċavetta ta' xahar.

Jekk il-pjattaforma tgħabbi biss arkivji mill-istess rilaxx, innotaha issa: aġġornament tal-firmware flimkien ma 'editjar VPN f'tieqa waħda tħallik iżżomm fajl li r-router mhux se jaċċetta.

Ipprova mod li taqbeż il-mina

It-tieni sessjoni SSH mill-istess laptop għall-istess indirizz pubbliku mhijiex it-tieni triq; it-tnejn imutu flimkien. Il-mogħdija indipendenti hija waħda minn dawn: console serjali jew KVM, hypervisor jew console tas-sħab, VLAN ta 'ġestjoni li jista' jintlaħaq minn host li ma jkunx wara l-mina, it-tieni modem WAN jew LTE bir-regola amministrattiva tiegħu stess, jew persuna fuq il-post.

Ittestja l-mogħdija magħżula waqt li r-router ikun b'saħħtu. Idħol fuqha, iftaħ il-paġna VPN, u waqqaf qabel issalva. Jekk regola ta 'lock-down tħalliha tilħaq biss id-dashboard, għad għandek ħin biex tirranġa dan, u l-korrezzjoni trid toqgħod 'il fuq mir-regola ta' ċaħda fl-ordni tar-regola.

Il-biċċa l-kbira tar-routers jorbtu s-servizz tal-amministrazzjoni ma' interface jew familja ta' indirizzi, għalhekk rotta barra mill-banda trid tasal fejn dak is-servizz jisma'. It-twessigħ tal-irbit għat-tieqa jaħdem, iżda huwa nnifsu huwa bidla fit-triq li tiddependi fuqha.

Esporta l-fajl u ikteb il-grillu

Mexxi l-esportazzjoni 'l barra mir-router u barra l-magna li tista' titlef il-mina tagħha. Backup maħżun fuq is-sistema tal-fajls tar-router tisparixxi eżattament fin-nuqqas li qed tippjana għaliha, u wieħed bilqiegħda fuq il-laptop li wasal biex jitlef il-konnettività bilkemm huwa aħjar.

Ittratta dak il-fajl bħala kredenzjali. Iżomm ċwievet privati, sigrieti kondiviżi minn qabel, materjal taċ-ċertifikat, u hashes tal-password, għalhekk ikkriptah jew aħżen bl-istess attenzjoni bħall-login tar-router.

Imbagħad ikteb sentenza waħda: jekk ma nistax niftaħ sessjoni ta 'ġestjoni ġdida minn PATH fi żmien N minuti mill-bidla, nirrestawra FILE u nibda mill-ġdid. Is-sentenza ġġiegħel l-ambitu jinżel għal varjabbli waħda. L-editjar tar-rotot, tad-DNS u tal-firewall li jsiru flimkien huma malajr biex isalvaw u bil-mod biex iqaxxru meta jkollok tentattiv ieħor.

Uża kommit timer fejn il-pjattaforma jkollha waħda

Diversi pjattaformi jneħħu l-bidla għalik jekk tonqos milli tikkonfermaha. RouterOS Safe Mode, imdaħħla b'Ctrl + X f'terminal, ireġġa' lura l-bidliet li saru f'dik is-sessjoni meta s-sessjoni tinżel. Junos jreġġa' lura impenn mhux ikkonfermat ikkonfermat. Il-pari ta' Cisco IOS jerġgħu jitgħabbew b'reload jikkanċellaw. Il-firewalls tal-intrapriżi ġeneralment jagħmlu bidliet pendenti b'timer awto-revert. OpenWrt u l-biċċa l-kbira tal-firmware tal-konsumatur m'għandhom xejn ekwivalenti, għalhekk it-tajmer għandu jkun estern: restawr skedat, xogħol cron li jibdel fajl lura u jerġa 'jibda s-servizz, jew reboot fil-konfigurazzjoni preċedenti.

Tassumux li karatteristika bl-istess isem tkopri l-istess ambitu. L-awto-revert ta' prodott wieħed jista' jkopri biss ir-regoli tal-firewall; ieħor jista 'jkopri l-konfigurazzjoni kollha, inkluża r-regola ta' ġestjoni li għadek kif bdilt biex iżżomm lilek innifsek aċċessibbli. Aqra dak li jreġġa' lura t-tajmer qabel ma tistrieħ fuqu.

Timer mhuwiex sostitut għal fajl esportat. Jfalli fil-każ li jgħodd l-aktar hawnhekk: is-sessjoni tibqa 'ħajja, il-pjan ta' ġestjoni le, u xejn qatt ma jqanqal ir-rivers.

Ittestja konnessjoni ġdida fjamanta, mhux dik miftuħa

Sessjoni stabbilita ħafna drabi tibqa’ taħdem permezz ta’ bidliet li jimblokkaw kull handshake ġdida, minħabba li l-istat tagħha diġà jeżisti u l-politika tiġi evalwata meta tinħoloq konnessjoni. Wara l-bidla, oħloq konnessjonijiet ġodda min-naħa remota: sessjoni SSH ġdida, handshake VPN ġdid minn klijent, tagħbija ta 'paġna normali għall-indirizz LAN tar-router.

# run these from the remote machine, in a new shell
ssh -o ConnectTimeout=8 admin@"$ROUTER_WAN"
nc -vz "$ROUTER_WAN" 443
dig +short example.internal "@$ROUTER_LAN"

Imbagħad ittestja downstream tal-mina aktar milli l-mina nnifisha: riżoluzzjoni tal-isem, konnessjoni TCP għal servizz intern, u l-applikazzjoni li fil-fatt tuża. Mina li tistabbilixxi iżda ma tagħti ebda DNS użabbli tidher b'saħħitha fl-istatus tal-klijent u miksura fil-browser, u dik id-differenza tiddeċiedi jekk tirrestawrax il-fajl jew tiffissax regola waħda.

Irrepeti wara skonnettjar sfurzat u qabbad mill-ġdid, u għal darba oħra wara reboot jekk il-pjattaforma terġa' tapplika l-istat fil-boot. Xi konfigurazzjonijiet jgħaddu minn kull test ħaj u jfallu fl-ewwel boot bir-regoli l-ġodda fis-seħħ.

Agħlaq il-bibien li ftaħt għat-tieqa

Neħħi r-regola ta 'amministrazzjoni temporanja ta' kwalunkwe sors, il-kont li jintrema, l-irbit imwessa', ir-regola DNS permissiva, u l-illoggjar tad-debug. Dik it-tneħħija hija nnifisha bidla fit-triq li tiddependi fuqha, għalhekk erġa' wettaq it-test tal-konnessjoni friska wara, min-naħa remota.

Żomm il-fajl esportat sakemm il-bidla tkun ħajjar reboot u klijent reali reconnect, imbagħad dawwar kull ħaġa li qasmet waqt li t-tieqa kienet miftuħa. Konfigurazzjoni li taħdem sal-boot li jmiss hija mod kwiet biex titlef router ġimgħa wara, meta ħadd ma jiftakar liema regola kienet temporanja.

Ikteb il-bidla fejn tħares il-persuna li jmiss: x'ċaqlaq, liema fajl ineħħiha, liema triq tilħaq il-console, u liema regola kienet temporanja.

Qabel ma tiftaħ il-paġna VPN, iridu jeżistu erba 'affarijiet: fluss ta' restawr li ttestjajt, it-tieni mogħdija li ppruvajt, fajl esportat li tista 'tabilħaqq tilħaq, u grillu bil-miktub. Jekk xi ħadd ikun nieqes, waħħalha l-ewwel. Il-bidla tista 'tistenna siegħa; lockout ma jistax.