Låst ute av VPN-serveren din: behold en annen vei inn
En ødelagt tunnel bør ikke også ta fra deg muligheten til å reparere serveren. Planlegg, test og gjennomgå en uavhengig administrativ vei før du trenger den.
Du åpner konsollen, endrer én brannmurregel, og tunnelen du var koblet gjennom forsvinner. Endringen var riktig, omlastingen var det ikke, og nå er den eneste veien tilbake til maskinen den du nettopp brøt. En annen vei inn er en designbeslutning, og den må finnes før utfallet, ikke under det.
Gå gjennom det du fortsatt har
Start ved konsollskjermen foran deg og list opp veiene som ikke avhenger av tunnelen. En nettkonsoll hos leverandøren med seriell økt eller VNC er én. Et administrasjonsgrensesnitt på et eget nettverk er en annen. Fysisk tilgang er en tredje, og det er den folk oppdager mangler på det verste tidspunktet.
| Path | Depends on | Usually fails when |
|---|---|---|
| Provider console | Account access and the provider's own API | Credentials live in a wiki only reachable over the tunnel |
| Management subnet | A second interface and its own routing | The bad change was a global route or firewall policy |
| Second tunnel | A different listener, port and credentials | Both listeners were changed in the same edit |
| Physical or local console | Being in the building | Nobody has been in the building for a year |
Les den tredje kolonnen som en feilliste og ikke som en abstraksjon. To av disse veiene feiler vanligvis av samme grunn. Tabellen er måten du oppdager det på før et utfall forklarer det for deg.
Uavhengighet er et spørsmål om avhengigheter
En gjenopprettingskonto er ikke uavhengig hvis passordet ligger i en tjeneste du når gjennom tunnelen. En annen VPN på samme vert, samme port og samme brannmurpolitikk er heller ikke uavhengig, fordi endringen som brøt den første, brøt begge.
Gå nedover kjeden og navngi hva hvert steg trenger. Nettverkstilgjengelighet, navneoppslag, en autentiseringskilde og selve administrasjonstjenesten er fire separate avhengigheter, og en vei som deler noen av dem arver den feilen.
Veien som aldri er testet fortjener sin egen mistanke. En konsoll som ikke er åpnet på måneder kan kreve tilbakestilling av passord via e-post, og den postkassen kan være driftet på maskinen du ikke når. Test veien mens alt virker, og du finner dette på en rolig ettermiddag.
Bruk den andre veien til én kontrollert endring
Fra konsollen tar du et øyeblikksbilde eller kopierer konfigurasjonen du skal redigere. Endre én ting. Last tjenesten på nytt og les resultatet før du rører noe annet, fordi to endringer samtidig gjør en gjenoppretting til et eksperiment.
Hold gjenopprettingsøkten åpen mens du gjør det. Hele verdien av den andre veien er at den overlever det du endrer, så lukker du den først, fjerner du den eneste egenskapen som gjorde den nyttig.
Verifiser fra gjenopprettingsveien, ikke fra hukommelsen
Kontrollen som betyr noe, er om den normale veien kommer tilbake, og gjenopprettingsøkten er stedet der du bekrefter det i rekkefølge:
systemctl status openvpn-server@server --no-pager ss -lntup | grep -E ':(1194|443)\b' nft list ruleset | sed -n '1,40p' journalctl -u openvpn-server@server --since '-10 min' --no-pager | tail -n 30
Les tjenestestatusen først, deretter lytteren, deretter reglene, deretter journalen. En tjeneste som kjører uten lytter peker på tjenestekonfigurasjonen, mens en lytter uten tilgjengelige regler peker på filtreringen. Rekkefølgen betyr noe fordi hvert steg snevrer inn det neste, og å hoppe til journalen betyr vanligvis å lese feil som beskriver symptomet og ikke årsaken.
systemctl-dokumentasjonen dekker status- og omstartsoppførselen som brukes her, inkludert hvordan en mislykket omlasting lar den forrige prosessen kjøre videre. Å gjenopprette en sammenhengende revisjon er bedre enn å koble til på nytt igjen og igjen fra en klient som ikke kan reparere serveren. Hvis tilbakerullingsbetingelsen du definerte før endringen er oppfylt, gjenopprett og stopp.
Hold oversikten oppdatert
Gå gjennom tilgangslisten når folk eller infrastruktur endres. Test gjenopprettingsveien mens alt virker. Trekk tilbake kontoene ingen har brukt siden forrige omorganisering. To utdaterte kontoer og ett utløpt sertifikat er en liten opprydding på en tirsdag og et utfall på en søndag.
Skriv ned hvem som kan bruke hver vei, hva den tillater og hvordan påloggingsinformasjonen roteres. En gjenopprettingsvei uten eier blir en glemt inngang, som er en annen type feil enn å være låst ute.