L-aġġornamenti mhux sorveljati tas-server VPN jeħtieġu triq tal-irkupru ttestjata
Aġġornament jista’ jerġa’ jibda s-servizz li tuża biex tasal għas-server. Qabbel konsol barra l-banda ma’ pjan tal-irkupru biss permezz tat-tunnel qabel ma tawtomatizza.
L-aġġornamenti mhux sorveljati huma politika raġonevoli għal server li tasal għalih permezz tal-VPN tiegħu stess, u fl-istess ħin huma punt wieħed ta’ falliment li inti toħloq lilek innifsek. L-operazzjoni tal-pakkett terġa’ tibda s-servizz, it-tunnel jaqa’, u t-triq amministrattiva li kont qed tuża tispiċċa magħha. Jeżistu żewġ mudelli tal-irkupru, u l-għażla bejnihom tiddependi fuq kundizzjoni waħda: jekk għandekx triq tad-dħul li ma tgħaddix minn dak li qed jiġi aġġornat.
Żewġ mudelli tal-irkupru, kundizzjoni waħda deċiżiva
L-ewwel mudell jafda l-aġġornament u jassumi li tkun tista’ terġa’ tikkonnettja warajh. Jaħdem meta l-VPN huwa wieħed minn diversi modi biex tasal għall-host u meta l-falliment tat-tunnel ma jneħħilx il-kapaċità tiegħek li tiddijanjostikah. It-tieni mudell iqiegħed bil-quddiem triq indipendenti, normalment il-konsol tal-fornitur tal-hosting, u jittratta t-tunnel bħala l-ħaġa li l-manutenzjoni x’aktarx tkisser. Iż-żewġ mudelli huma difendibbli, u wieħed biss minnhom jeħtieġ xogħol bil-quddiem.
Il-kundizzjoni deċiżiva hija faċli tgħidha u faċli taqbeżha. Jekk kull triq amministrattiva lejn il-magna tgħaddi mis-servizz li qed jiġi aġġornat, m’għandek l-ebda mudell tal-irkupru, biss aspettattiva. Għidha b’leħen għoli fir-reviżjoni tal-bidla.
L-ittestjar ta’ dik il-kundizzjoni jieħu għaxar minuti u għandu jsir qabel l-ewwel aġġornament mhux sorveljat, mhux waqt l-inċident. Iftaħ il-konsol waqt li kollox jaħdem, ikkonferma li l-kredenzjali huma validi, u erġa’ għalqiha. Ikkonferma li l-konsol tiftaħ fuq il-host li taħseb. Imbagħad ikkonferma li l-login li fil-fatt tuża fil-3 ta’ filgħodu għadu jaħdem.
Dik l-aħħar parti hija aktar importanti milli tidher. Kont tal-konsol li l-password tiegħu nbidlet sitt xhur ilu u qatt ma ġie vverifikat mhuwiex triq tal-irkupru; huwa dokument li jiddeskrivi waħda.
X’ma jirrestawrax backup
Arkivju tal-konfigurazzjoni huwa rekord ta’ fajls, u aġġornament ibiddel aktar minn fajls. L-istat tal-pakkett, il-moduli tal-kernel, il-ħoloq tal-unitajiet attivati u r-regoli tal-firewall applikati b’għodda separata kollha jgħixu barra mid-direttorju tal-konfigurazzjoni, u restawr li jinjorahom jipproduċi magna li tidher ikkonfigurata u ma tgħaddix.
| What changed | Restored by a configuration backup | Needs its own action |
|---|---|---|
| Service unit or startup ordering | Partly, if the unit file was included | Package state and enabled links |
| Kernel module or interface support | No | Kernel or module rollback, or a boot-time decision |
| Peer or device authorization | Only if the backup predates the revocation | A deliberate decision about which peers return |
| Firewall rules applied outside the config | Only if they were captured | Replaying and verifying each rule |
L-awtorizzazzjoni tistħoqqilha linja tagħha. Backup meħud qabel ma tneħħa apparat kompromess se jerġa’ jġib l-aċċess ta’ dak l-apparat bil-qalb. Li tmur lura għalih waqt waqfa huwa kif inċident wieħed isir tnejn, u d-deċiżjoni li tirrestawra għandha tittieħed dwar il-pari bl-istess mod espliċitu li tittieħed dwar il-fajls.
Il-mekkaniżmu tal-irtirar huwa importanti wkoll. Li tikkopja eżekutabbli eqdem fuq wieħed immexxi mill-pakkett mhijiex it-treġġigħ lura appoġġjat ta’ bidla fil-pakkett, u jħalli l-bażi tad-data tal-pakketti tiddeskrivi stat li s-sistema tal-fajls ma taqbilx miegħu. Uża t-triq tat-tnaqqis tal-verżjoni tal-maniġer tal-pakketti stess jew is-snapshot li joffri l-fornitur. Tnaqqis fil-verżjoni li tirreġistra l-bażi tad-data tal-pakketti huwa wieħed li tista’ tirrepeti.
Xejn minn dan ma jargumenta kontra l-backups. Qed jargumenta favur li tkun taf liema saff tkopri kull artefatt, għax il-mod ta’ falliment ta’ restawr parzjali huwa aktar konfuż mill-waqfa oriġinali. Ikteb is-saff ħdejn kull backup fir-runbook.
Punt ta’ kontroll, aġġornament, imbagħad verifika minn barra
Irreġistra l-istat qabel il-bidla f’forma li tkun tista’ tqabbel warajha: il-verżjonijiet installati, l-unitajiet tas-servizz involuti, is-sockets li qed jisimgħu u l-lista attwali tal-pari. Erba’ kmandi jkopru l-biċċa l-kbira ta’ dan fuq host Linux.
systemctl list-units --type=service | grep -E 'openvpn|wg-quick'
ss -lunp | grep -E ':51820|:1194'
journalctl -u wg-quick@wg0 --since '-10 min'L-ewwel juri liema unitajiet jeżistu u jekk humiex qed jaħdmu, it-tieni jikkonferma li s-semmiegħ huwa tassew marbut, u t-tielet jagħtik ir-rakkont tas-servizz stess dwar l-aħħar minuti. Ħadd minnhom ma jipprova li klijent jista’ jikkonnettja, u għalhekk il-pass li jmiss iseħħ barra mill-host. Żomm dawk il-qari bħala l-bażi tal-paragun tiegħek.
Ivverifika minn network li ma jużax it-tunnel: awtentika klijent wieħed awtorizzat, solvi isem, u wasal għal applikazzjoni waħda maħsuba. Linja tal-istat lokali li tgħid li l-interface hija ’l fuq hija stqarrija dwar l-interface, mhux dwar ir-routing, iċ-ċwievet jew il-politika li tammetti pari.
Imbagħad ipprova deliberatament it-triq tal-konnessjoni mill-ġdid. Erġa’ ibda s-servizz darba u kkonferma li t-tunnel jerġa’ lura mingħajr intervent manwali, għax servizz li jibda sewwa biss fil-boot huwa servizz li se jissorprendik fl-agħar mument.
Meta jfalli, uża t-triq li ttestjajt
Is-sekwenza tal-irkupru mhijiex glamuruża u taħdem: wasal għall-host permezz tat-triq indipendenti, aqra l-logs tas-servizz stess, u restawra l-punt ta’ kontroll speċifiku li jikkorrispondi għall-falliment. Ibdel ħaġa waħda għal kull attentat sabiex il-qari tal-log li jmiss ifisser xi ħaġa.
Irreżisti x-xewqa li tagħmel diversi bidliet mhux irreġistrati biex terġa’ tikseb il-konnettività. Magna msewwija b’ħames modifiki simultanji ma tistax tiġi spjegata wara, u l-aġġornament li jmiss se jerġa’ jdaħħal dik li fil-fatt kienet qed iġġorr it-tagħbija.
Imbagħad iddeċiedi l-politika permanenti b’evidenza. Jekk l-aġġornament wera dipendenza li ħadd ma ddokumentaha, il-korrezzjoni hija dokumentazzjoni u test, mhux li tħassar l-aġġornamenti. Jekk wera servizz li ma jistax jerġa’ jibda sewwa, il-korrezzjoni hija fl-unità, mhux fl-iskeda.
Il-paragun jiġi solvut sewwa hekk kif il-kundizzjoni tingħata isem. Triq indipendenti tagħmel l-aġġornamenti mhux sorveljati riskju maniġġabbli. In-nuqqas tagħha jagħmel l-istess politika waqfa skedata b’ħin tal-irkupru mhux magħruf, u l-ebda ammont ta’ awtomatizzazzjoni ma jbiddel dik l-aritmetika.