Korleis planleggja ei ruter-VPN-tilbakeføring før ei ekstern endring

Du er i ferd med å redigera tunnelen som ber di eiga økt, så arbeidet som reddar deg skjer før endringa, ikkje under scrambling etter henne. Sikringsnettet er ikkje på VPN-sida: det er gjenopprettingsskjermen, ein konsoll eller ein annan bane som ikkje går gjennom eininga du redigerer. Eg planlegg alle tre på same rutergrensesnitt som eg skal redigera, og eg bruker banen éin gong medan alt framleis fungerer. Dette er gjennomgangen eg følgjer, i rekkjefølgje.

Gå gjennom gjenopprettingsflyten før du treng han

Opn sidan som vil angra endringa. På pfSense er det Diagnostikk > Sikkerhetskopiering og gjenoppretting; på OpenWrt er det System > Backup / Flash Firmware; på OPNsense er det System > Konfigurasjon > Sikkerhetskopier, som også beheld tidlegare revisjonar du kan gå tilbake til utan fil. Du gjenopprettar ikkje noko enno. Du sjekkar om den sida blir opna frå banen du vil ha under endringa, om den ønskjer ein omstart etterpå, og om den avviser eit arkiv skrive av ei anna fastvareutgiving. Netgate dokumenterer sin eigen eksport- og gjenopprettingsflyt kl docs.netgate.com.

Ei gjenoppretting byter heile konfigurasjonen, så det er ikkje ein angra for éin regel. Arkivet inneheld brukarar, sertifikat, VPN-nøklar, brannmurreglar og innstillingane for administrasjonsgrensesnittet som bestemmer kven som kan logga inn. Derfor eksporterer eg rett før endringa og gir fila namn med dato og enkeltinnstilling eg har tenkt å berøra. Gjenoppretting av ein månedgammel fil gjenopprettar også ein månedgammel tunnel og ein månedgammel nøkkel.

Viss plattforma berre lastar inn arkiv frå same utgiving, merk det no: ei fastvareoppgradering pluss ei VPN-redigering i eitt vindauge lèt deg halda ei fil som ruteren ikkje vil godta.

Bevis ein veg inn som hoppar over tunnelen

Ein andre SSH-økt frå same berbare til same offentlege adresse er ikkje ein andre veg; begge døyr saman. Den uavhengige banen er ein av desse: ein seriell eller Kvm-konsoll, ein hypervisor eller skykonsoll, eit administrasjons-VLAN tilgjengeleg frå ein vert som ikkje er bak tunnelen, eit andre Wan- eller LTE-modem med sin eigen administrative regel, eller ein person på staden.

Test den valde banen medan ruteren er frisk. Logg inn over den, opne VPN-sida og stopp før du lagrar. Viss ein låseregel berre lèt det no dashbordet, har du framleis tid til å fiksa det, og korrigeringa må sitja over avvisingsregelen i regelrekkjefølgja.

Dei fleste ruterar bind admin-tjenesten til eit grensesnitt eller ein adressefamilie, så ei ut-av-band-rute må komma der den tenesta lyttar. Å utvida bindinga for vindauget fungerer, men det er i seg sjølv ei endring av banen du er avhengig av.

Eksporter fila og skriv utløysaren

Flytt eksporten frå ruteren og av maskina som kan mista tunnelen. Ein tryggleikskopi som er lagra på filsystemet til ruteren forsvinn i akkurat den feilen du planlegg for, og ein som sit på den berbare datamaskina som er i ferd med å mista tilkoplinga er knapt betre.

Behandle den fila som ein legitimasjon. Den har private nøklar, førehandsdelte løyndommar, sertifikatmateriale og passordhasher, så kryptar den eller lager han med same aktsemd som ruterpålogginga.

Skriv deretter ei setning: om eg ikkje kan opna ei ny administrasjonsøkt frå PATH innan N minutt etter endringa, gjenopprettar eg FILE og startar på nytt. Setninga tvingar omfanget ned til éin variabel. Rute-, DNs- og brannmurredigeringar som er gjort saman, er raske å lagra og sakta å dela opp når du får eitt forsøk til.

Bruk ein commit-timer der plattforma har ein

Fleire plattformer vil angra endringa for deg om du ikkje klarer å stadfesta henne. RouterOS Safe Mode, lagt inn med Ctrl+X i ein terminal, tilbakestiller endringane som er gjorde i den økta når økta fell. Junos rullar tilbake ei ikkje stadfesta forplikting stadfesta. Cisco IOS-par laster inn på nye med avbryting av omlasting. Bedriftsbrannmurar isceneset vanlegvis ventande endringar med ein automatisk tilbakestillingstidtakar. OpenWrt og dei fleste forbrukerfirmware har ikkje noko tilsvarande, så der må tidtakaren vera ekstern: ei planlagd gjenoppretting, ein cron-jobb som byter tilbake ei fil og startar tenesta på nytt, eller ein omstart til førre konfigurasjon.

Ikkje rekna med at ein funksjon med liknande namn dekkjer same omfang. Eitt produkts automatiske tilbakestilling kan berre dekkja brannmurreglar; ein annan kan dekkja heile konfigurasjonen, inkludert administrasjonsregelen du nettopp endra for å halda deg tilgjengeleg. Les kva tidtakaren går tilbake før du stoler på den.

Ein tidtakar er inga erstatning for ei eksportert fil. Det mislykkast i det tilfellet som betyr mest her: økta overlever, leiingsplanet gjer det ikkje, og ingenting utløyser nokon gong tilbakestillinga.

Test ei heilt ny tilkopling, ikkje den opne

Ei etablert økt held ofte fram med å jobba gjennom endringar som blokkerer kvart nytt handtrykk, fordi dens tilstand allereie eksisterer og policy blir evaluert når ei tilkopling blir oppretta. Etter endringa opprettar du nye tilkoplingar frå den eksterne sida: ei ny SSH-økt, eit nytt VPN-handtrykk frå ein klient, ei normal sideinnlasting til Lan-adressa til ruteren.

# run these from the remote machine, in a new shell
ssh -o ConnectTimeout=8 admin@"$ROUTER_WAN"
nc -vz "$ROUTER_WAN" 443
dig +short example.internal "@$ROUTER_LAN"

Test deretter nedstraums for tunnelen i staden for sjølve tunnelen: namneoppløysing, ei TCP-tilkopling til ei intern teneste, og applikasjonen du faktisk bruker. Ein tunnel som etablerer, men ikkje deler ut brukbar DNs, ser sunn ut i klientstatusen og øydelagt i nettlesaren, og den forskjellen avgjer om du gjenopprettar fila eller fiksar éin regel.

Gjenta etter ei tvungen fråkopling og tilkopling igjen, og ein gong til etter ein omstart viss plattforma gjenopprettar tilstanden ved oppstart. Nokre konfigurasjonar består kvar live-test og mislykkast ved første oppstart med dei nye reglane på plass.

Lukk dørene du opna for vindauget

Fjern den mellombelse administratorregelen for kva kjelde som helst, kastkontoen, den utvida bindinga, ho tillata DNS-regelen og feilsøkingslogginga. Denne fjerninga er i seg sjølv ei endring på banen du er avhengig av, så køyr den nye tilkoplingstesten på nytt etter han, frå den eksterne sida.

Behald den eksporterte fila til endringa har overlevd ein omstart og ei reell klienttilkopling, og rotar deretter alt du delte medan vindauget var ope. Ein konfigurasjon som fungerer til neste oppstart er ein roleg måte å mista ein ruter på ei veke seinare, når ingen hugsar kva regel som var mellombels.

Skriv ned endringa der neste person ser: kva som flytta, kva fil angrar henne, kva bane som når konsollen, og kva regel som var mellombels.

Før du opnar VPN-sida, må fira ting eksistera: ein gjenopprettingsflyt du har testa, ein andre bane du har bevist, ei eksportert fil du faktisk kan nå, og ein skriftleg trigger. Om nokon manglar, fiks det først. Endringa kan venta ein time; ein lockout kan ikkje.