Hoe u een router-VPN-rollback kunt plannen vóór een wijziging op afstand

U staat op het punt de tunnel te bewerken die uw eigen sessie bevat, dus het werk dat u bespaart, gebeurt vóór de wijziging, en niet tijdens de strijd erna. Het vangnet bevindt zich niet op de VPN-pagina: het is het herstelscherm, een console of een tweede pad dat niet door het apparaat loopt dat u aan het bewerken bent. Ik plan ze alle drie op dezelfde routerinterface die ik ga bewerken, en ik gebruik het pad één keer terwijl alles nog werkt. Dit is de walkthrough die ik volg, in volgorde.

Doorloop de herstelstroom voordat u deze nodig heeft

Open de pagina die uw wijziging ongedaan maakt. Op pfSense is dat Diagnostiek > Back-up en herstel; op OpenWrt is het Systeem > Backup / Flash Firmware; op OPNsense is dit Systeem > Configuratie > Back-ups, waarin ook eerdere revisies worden bewaard waarnaar u zonder bestand kunt terugkeren. Je herstelt nog niets. U controleert of die pagina wordt geopend via het pad dat u tijdens de wijziging zult hebben, of deze daarna opnieuw moet worden opgestart en of een archief wordt afgewezen dat is geschreven door een andere firmwareversie. Netgate documenteert zijn eigen export- en herstelstroom op docs.netgate.com.

Bij herstel wordt de hele configuratie omgewisseld, dus het is niet ongedaan maken van één regel. Het archief bevat gebruikers, certificaten, VPN-sleutels, firewallregels en de instellingen van de beheerdersinterface die bepalen wie mag inloggen. Daarom exporteer ik onmiddellijk vóór de wijziging en geef ik het bestand een naam met de datum en de enige instelling die ik wil aanraken. Als u een bestand van een maand oud herstelt, worden ook een tunnel van een maand oud en een sleutel van een maand oud hersteld.

Als het platform alleen archieven van dezelfde release laadt, let er dan nu op: een firmware-upgrade plus een VPN-bewerking in één venster zorgt ervoor dat u een bestand vasthoudt dat de router niet accepteert.

Bewijs een manier om de tunnel over te slaan

Een tweede SSH-sessie vanaf dezelfde laptop naar hetzelfde openbare adres is geen tweede pad; beiden sterven samen. Het onafhankelijke pad is er één van: een seriële of KVM-console, een hypervisor of cloudconsole, een beheer-VLAN bereikbaar vanaf een host die zich niet achter de tunnel bevindt, een tweede WAN- of LTE-modem met een eigen beheerdersregel, of een persoon ter plaatse.

Test het gekozen pad terwijl de router in orde is. Log er overheen in, open de VPN-pagina en stop voordat u opslaat. Als een lock-downregel alleen het dashboard laat bereiken, heb je nog tijd om dat op te lossen, en moet de correctie boven de weigerregel in de regelvolgorde staan.

De meeste routers binden de beheerdersservice aan een interface of een adresfamilie, dus er moet een out-of-band route aankomen waar die service luistert. Het verbreden van de binding voor het venster werkt wel, maar het is op zichzelf een verandering in het pad waarvan u afhankelijk bent.

Exporteer het bestand en schrijf de trigger

Verplaats de export van de router en van de machine die mogelijk zijn tunnel kwijtraakt. Een back-up die is opgeslagen op het bestandssysteem van de router verdwijnt precies in de fout die u van plan bent, en een back-up op de laptop die op het punt staat de connectiviteit te verliezen is nauwelijks beter.

Behandel dat bestand als een referentie. Het bevat privésleutels, vooraf gedeelde geheimen, certificaatmateriaal en wachtwoord-hashes, dus versleutel of bewaar het met dezelfde zorg als de login van de router.

Schrijf vervolgens één zin: als ik binnen N minuten na de wijziging geen nieuwe beheersessie vanuit PATH kan openen, herstel ik FILE en start ik opnieuw op. De zin dwingt de reikwijdte af tot één variabele. Route-, DNS- en firewallbewerkingen die samen worden doorgevoerd, kunnen snel worden opgeslagen en langzaam worden gesplitst als u nog een poging krijgt.

Gebruik een commit-timer als het platform er een heeft

Verschillende platforms zullen de wijziging voor u ongedaan maken als u deze niet bevestigt. RouterOS Veilige modus, geopend met Ctrl+X in een terminal, zet de wijzigingen terug die in die sessie zijn aangebracht wanneer de sessie wordt verbroken. Junos draait een onbevestigde toezegging terug. Cisco IOS-paren herladen met herladen annuleren. Enterprise-firewalls voeren in behandeling zijnde wijzigingen doorgaans uit met een timer voor automatisch terugzetten. OpenWrt en de meeste consumentenfirmware hebben niets gelijkwaardigs, dus daar moet de timer extern zijn: een gepland herstel, een cron-taak die een bestand terugwisselt en de service opnieuw start, of een herstart naar de vorige configuratie.

Ga er niet van uit dat een functie met dezelfde naam dezelfde reikwijdte bestrijkt. Het automatisch terugzetten van één product heeft mogelijk alleen betrekking op firewallregels; een ander kan de hele configuratie bestrijken, inclusief de beheerregel die u zojuist hebt gewijzigd om uzelf bereikbaar te houden. Lees wat de timer terugzet voordat u erop vertrouwt.

Een timer is geen vervanging voor een geëxporteerd bestand. Het faalt in het geval dat er hier het meest toe doet: de sessie overleeft, het managementniveau niet, en niets veroorzaakt ooit de terugkeer.

Test een gloednieuwe verbinding, niet de open verbinding

Een gevestigde sessie blijft vaak doorwerken door veranderingen die elke nieuwe handdruk blokkeren, omdat de status ervan al bestaat en het beleid wordt geëvalueerd wanneer er een verbinding wordt gemaakt. Maak na de wijziging nieuwe verbindingen vanaf de externe kant: een nieuwe SSH-sessie, een nieuwe VPN-handshake van een client, een normale paginalading naar het LAN-adres van de router.

# run these from the remote machine, in a new shell
ssh -o ConnectTimeout=8 admin@"$ROUTER_WAN"
nc -vz "$ROUTER_WAN" 443
dig +short example.internal "@$ROUTER_LAN"

Test vervolgens stroomafwaarts van de tunnel in plaats van de tunnel zelf: naamresolutie, een TCP-verbinding met een interne service en de applicatie die u daadwerkelijk gebruikt. Een tunnel die een bruikbare DNS tot stand brengt maar geen bruikbare DNS uitdeelt, ziet er gezond uit in de clientstatus en is kapot in de browser, en dat verschil bepaalt of je het bestand herstelt of één regel repareert.

Herhaal dit na een geforceerde ontkoppeling en opnieuw verbinden, en nogmaals na een herstart als het platform de status bij het opstarten opnieuw toepast. Sommige configuraties slagen voor elke livetest en mislukken bij de eerste keer opstarten met de nieuwe regels van kracht.

Sluit de deuren die je voor het raam hebt geopend

Verwijder de tijdelijke beheerdersregel voor elke bron, het wegwerpaccount, de verbrede binding, de tolerante DNS-regel en de logboekregistratie voor foutopsporing. Die verwijdering is op zichzelf al een verandering in het pad waarvan u afhankelijk bent, dus voer daarna de nieuwe verbindingstest opnieuw uit, vanaf de externe kant.

Bewaar het geëxporteerde bestand totdat de wijziging een herstart heeft overleefd en een echte client opnieuw verbinding heeft gemaakt, en roteer vervolgens alles wat u hebt gedeeld terwijl het venster open was. Een configuratie die werkt tot de volgende keer opstarten is een stille manier om een router een week later kwijt te raken, terwijl niemand zich herinnert welke regel tijdelijk was.

Schrijf de wijziging op waar de volgende persoon kijkt: wat er is verplaatst, welk bestand deze ongedaan maakt, welk pad de console bereikt en welke regel tijdelijk was.

Voordat je de VPN-pagina opent, moeten er vier dingen aanwezig zijn: een herstelstroom die je hebt getest, een tweede pad dat je hebt bewezen, een geëxporteerd bestand dat je daadwerkelijk kunt bereiken en een geschreven trigger. Als er iemand ontbreekt, repareer dat dan eerst. De verandering kan een uur wachten; een lock-out kan dat niet.