Ubetjente VPN-serveroppdateringar krev ein gjenopprettingsveg du har testa

Ubetjente oppdateringar er ein rimeleg politikk for ein server du når over hans eigen VPN, og dei er samstundes eitt einskilt punkt for sjølvpåført feil. Pakkeoperasjonen startar tenesta på nytt, tunnelen fell, og den administrative vegen du brukte forsvinn med han. Det finst to gjenopprettingsmodellar, og valet mellom dei er avhengig av eitt vilkår: om du har ein inngangsveg som ikkje går gjennom det som blir oppdatert.

To gjenopprettingsmodellar, eitt avgjerande vilkår

Den første modellen stolar på oppdateringa og føreset at du kan kople til att etterpå. Han verkar når VPN er ein av fleire måtar å nå verten på, og når svikten i tunnelen ikkje tek frå deg evna til å diagnostisere han. Den andre modellen plasserer på førehand ein uavhengig veg, vanlegvis konsollen til hostingleverandøren, og handsamar tunnelen som det vedlikehald mest truleg øydelegg. Begge modellane er forsvarlege, og berre éin av dei krev arbeid på førehand.

Det avgjerande vilkåret er lett å seie og lett å hoppe over. Viss kvar administrativ veg til maskinen går gjennom tenesta som blir oppdatert, har du ingen gjenopprettingsmodell i det heile, berre ei forventing. Sei det høgt i endringsgjennomgangen.

Å teste det vilkåret tek ti minutt og må skje før den første ubetjente oppdateringa, ikkje under hendinga. Opne konsollen medan alt verkar, stadfest at påloggingsinformasjonen er gyldig, og lukk han att. Stadfest at konsollen opnar på verten du trur. Stadfest deretter at pålogginga du faktisk ville brukt klokka 3 om natta framleis verkar.

Den siste delen tyder meir enn han høyrest ut som. Ein konsollkonto der passordet vart rotert for seks månader sidan og aldri stadfesta, er ingen gjenopprettingsveg; det er eit dokument som skildrar ein.

Kva ein tryggleikskopi ikkje gjenopprettar

Eit konfigurasjonsarkiv er ei registrering av filer, og ei oppdatering endrar meir enn filer. Pakketilstand, kjernemodular, aktiverte eininglenkjer og brannmurreglar brukte via eit eige verktøy lever alle utanfor ein konfigurasjonsmappe, og ei gjenoppretting som ignorerer dei gjev ein maskin som ser konfigurert ut og ikkje vidaresender.

Autorisasjon fortener si eiga line. Ein tryggleikskopi teken før ein kompromittert eining vart fjerna, vil gjerne gjenopprette tilgangen til den eininga. Å rulle tilbake dit under ein avbrot er måten éi hending blir to, og avgjerda om å gjenopprette bør takast om peerar like eksplisitt som ho blir teken om filer.

Sjølve tilbakerullinga tyder også noko. Å kopiere ei eldre køyrbar fil over ei pakkestyrt er ikkje den støtta tilbakeføringa av ei pakkeendring, og ho lèt pakkedatabasen skildre ein tilstand filsystemet ikkje samsvarer med. Bruk pakkehandsamaren sin eigen nedgraderingsveg eller augeblinksbiletet leverandøren tilbyr. Ei nedgradering som pakkedatabasen registrerer, er ei du kan gjenta.

Ingenting av dette talar mot tryggleikskopiar. Det talar for å vite kva lag kvart artefakt dekkjer, fordi feilmodusen ved ei delvis gjenoppretting er meir forvirrande enn det opphavlege avbrotet. Skriv laget ved sida av kvar tryggleikskopi i runbooken.

Kontrollpunkt, oppdatering og deretter stadfesting utanfrå

Registrer tilstanden før endringa i ei form du kan samanlikne seinare: dei installerte versjonane, tenesteeiningane som er involverte, dei lyttande sokkela og den gjeldande peer-lista. Fire kommandoar dekkjer det meste av dette på ein Linux-vert.

systemctl list-units --type=service | grep -E 'openvpn|wg-quick'
ss -lunp | grep -E ':51820|:1194'
journalctl -u wg-quick@wg0 --since '-10 min'

Den første viser kva einingar som finst og om dei køyrer, den andre stadfestar at lyttaren faktisk er bunden, og den tredje gjev deg tenesta si eiga framstilling av dei siste minutta. Ingen av dei beviser at ein klient kan kople til, og difor skjer neste steg utanfor verten. Ta vare på avlesingane som samanlikningsgrunnlaget ditt.

Stadfest frå eit nettverk som ikkje brukar tunnelen: autentiser éin autorisert klient, slå opp eit namn og nå éin tiltenkt applikasjon. Ei lokal statusline som seier at grensesnittet er oppe, er ein påstand om grensesnittet, ikkje om ruting, nøklar eller politikken som slepp ein peer inn.

Test deretter attkoplingsvegen med vilje. Start tenesta på nytt éin gong og stadfest at tunnelen kjem tilbake utan manuell inngripen, for ei teneste som berre startar rett ved oppstart, er ei teneste som vil overraske deg i det verste augneblinken.

Når det feilar, bruk vegen du har testa

Gjenopprettingsrekkjefølgja er lite glamorøs og ho verkar: nå verten gjennom den uavhengige vegen, les tenesta sine eigne loggar, og gjenopprett det konkrete kontrollpunktet som svarar til feilen. Endre éin ting per forsøk, slik at neste logglesing tyder noko.

Motstå trongen til å gjere fleire uregistrerte endringar for å få tilbake sambandet. Ein maskin som er reparert med fem samtidige endringar, kan ikkje forklarast i ettertid, og neste oppdatering vil gjeninnføre den av dei som faktisk bar lasta.

Avgjer deretter den permanente politikken med bevis. Viss oppdateringa avdekte ein avhengigheit ingen dokumenterte, er rettinga dokumentasjon og ein test, ikkje å slå av oppdateringar. Viss ho avdekte ei teneste som ikkje kan startast reint på nytt, er rettinga i eininga, ikkje i planen.

Samanlikninga fell reint på plass når vilkåret er namngjeve. Ein uavhengig veg gjer ubetjente oppdateringar til ein handterbar risiko. Fråværet av han gjer same politikk til eit planlagt avbrot med ukjend gjenopprettingstid, og inga mengd automatisering endrar den aritmetikken.