Maqful barra mis-server VPN tiegħek: żomm it-tieni triq għal ġewwa
Mini miksura m’għandhiex iċċaħħdek ukoll mill-ħila li ssewwi s-server. Ippjana, ittestja u rrevedi triq amministrattiva indipendenti qabel ma jkollok bżonnha.
Tiftaħ il-console, tbiddel regola waħda tal-firewall, u l-mina li kont konness permezz tagħha tispiċċa. Il-bidla kienet korretta, it-tagħbija mill-ġdid ma kinitx, u issa l-unika triq lura lejn il-magna hija dik li għadek kemm kissirt. It-tieni triq għal ġewwa hija deċiżjoni tad-disinn, u trid teżisti qabel l-intopp, mhux waqt dan.
Għaddi minn dak li għad għandek
Ibda mill-iskrin tal-console quddiemek u elenka t-toroq li ma jiddependux mill-mina. Console web tal-fornitur b’sessjoni serjali jew VNC hija waħda. Interfaċċa tal-ġestjoni fuq netwerk separat hija oħra. L-aċċess fiżiku huwa t-tielet, u huwa dak li n-nies isibu nieqes fl-agħar mument.
| Path | Depends on | Usually fails when |
|---|---|---|
| Provider console | Account access and the provider's own API | Credentials live in a wiki only reachable over the tunnel |
| Management subnet | A second interface and its own routing | The bad change was a global route or firewall policy |
| Second tunnel | A different listener, port and credentials | Both listeners were changed in the same edit |
| Physical or local console | Being in the building | Nobody has been in the building for a year |
Aqra t-tielet kolonna bħala lista ta’ fallimenti u mhux bħala astrazzjoni. Tnejn minn dawk it-toroq normalment ifallu għall-istess raġuni. It-tabella hija l-mod kif tinduna bi dan qabel ma intopp jispjegahulek.
L-indipendenza hija kwistjoni ta’ dipendenzi
Kont tal-irkupru mhuwiex indipendenti jekk il-password tiegħu hija maħżuna f’servizz li tilħaq permezz tal-mina. It-tieni VPN fuq l-istess host, l-istess port u l-istess politika tal-firewall mhuwiex indipendenti lanqas, għax il-bidla li kissret l-ewwel waħda tkisser it-tnejn.
Niżżel tul il-katina u semmi x’jeħtieġ kull pass. L-aċċessibbiltà tan-netwerk, is-soluzzjoni tal-ismijiet, sors ta’ awtentikazzjoni u s-servizz tal-ġestjoni nnifsu huma erba’ dipendenzi separati, u triq li taqsam waħda minnhom tirret l-istess falliment.
It-triq li qatt ma ġiet ittestjata jistħoqqilha suspett tagħha stess. Console li ma nfetħetx għal xhur tista’ tirrikjedi reset tal-password bl-email, u dik il-kaxxa tal-posta tista’ tkun ospitata fuq il-magna li ma tistax tilħaq. Ittestja t-triq waqt li kollox jaħdem u ssib dan f’nofsinhar kwiet.
Uża t-tieni triq għal bidla waħda kkontrollata
Mill-console, ħu snapshot jew ikkopja l-konfigurazzjoni li se teditja. Ibdel ħaġa waħda. Iddawwar is-servizz mill-ġdid u aqra r-riżultat qabel ma tmiss xejn ieħor, għax żewġ bidliet flimkien ibiddlu rkupru f’esperiment.
Żomm is-sessjoni tal-irkupru miftuħa waqt li tagħmel dan. Il-valur kollu tat-tieni triq huwa li hija tgħaddi minn dak li qed tbiddel, allura jekk tagħlaqha l-ewwel tneħħi l-unika proprjetà li għamlitha utli.
Ivverifika mit-triq tal-irkupru, mhux mill-memorja
Il-verifika li tiswa hija jekk it-triq normali terġax lura, u s-sessjoni tal-irkupru hija l-post fejn tikkonfermaha bl-ordni:
systemctl status openvpn-server@server --no-pager ss -lntup | grep -E ':(1194|443)\b' nft list ruleset | sed -n '1,40p' journalctl -u openvpn-server@server --since '-10 min' --no-pager | tail -n 30
Aqra l-istat tas-servizz l-ewwel, imbagħad is-semmiegħ, imbagħad ir-regoli, imbagħad il-ġurnal. Servizz li jaħdem mingħajr semmiegħ jindika l-konfigurazzjoni tas-servizz, filwaqt li semmiegħ mingħajr regoli aċċessibbli jindika l-iffiltrar. L-ordni tiswa għax kull pass jissikka li jmiss, u qabża lejn il-ġurnal normalment tfisser qari ta’ żbalji li jiddeskrivu s-sintomu u mhux il-kawża.
Id-dokumentazzjoni ta’ systemctl tkopri l-imġiba tal-istat u tar-restart użata hawn, inkluż kif tagħbija mill-ġdid falluta tħalli l-proċess preċedenti jaħdem. Li tirrestawra reviżjoni koerenti aħjar milli terġa’ tikkonnettja bla waqfien minn klijent li ma jistax isewwi s-server. Jekk il-kundizzjoni tar-rollback li ddefinixxejt qabel il-bidla ġiet sodisfatta, irrestawra u waqaf.
Żomm l-inventarju aġġornat
Irrevedi l-lista tal-aċċess meta n-nies jew l-infrastruttura jinbidlu. Ittestja t-triq tal-irkupru waqt li kollox jaħdem. Irreddaw l-kontijiet li ħadd ma uża mill-aħħar riorganizzazzjoni. Żewġ kontijiet skaduti u ċertifikat wieħed skadut huma tindifa żgħira nhar it-Tlieta u intopp nhar il-Ħadd.
Innota min jista’ juża kull triq, x’tippermetti u kif id-dettalji tal-identità jiddawru. Triq tal-irkupru mingħajr sid issir daħla minsija, li hija tip differenti ta’ falliment milli tkun maqful barra.