Hvordan planlegge en ruter-VPN-tilbakeføring før en ekstern endring

Du er i ferd med å redigere tunnelen som bærer din egen økt, så arbeidet som redder deg skjer før endringen, ikke under scramble etter den. Sikkerhetsnettet er ikke på VPN-siden: det er gjenopprettingsskjermen, en konsoll eller en annen bane som ikke går gjennom enheten du redigerer. Jeg planlegger alle tre på samme rutergrensesnitt som jeg skal redigere, og jeg bruker banen én gang mens alt fortsatt fungerer. Dette er gjennomgangen jeg følger, i rekkefølge.

Gå gjennom gjenopprettingsflyten før du trenger den

Åpne siden som vil angre endringen. På pfSense er det Diagnostikk > Sikkerhetskopiering og gjenoppretting; på OpenWrt er det System > Backup / Flash Firmware; på OPNsense er det System > Konfigurasjon > Sikkerhetskopier, som også beholder tidligere revisjoner du kan gå tilbake til uten fil. Du gjenoppretter ikke noe ennå. Du sjekker om den siden åpnes fra banen du vil ha under endringen, om den ønsker en omstart etterpå, og om den avviser et arkiv skrevet av en annen fastvareutgivelse. Netgate dokumenterer sin egen eksport- og gjenopprettingsflyt kl docs.netgate.com.

En gjenoppretting bytter hele konfigurasjonen, så det er ikke en angre for én regel. Arkivet inneholder brukere, sertifikater, VPN-nøkler, brannmurregler og innstillingene for administrasjonsgrensesnittet som bestemmer hvem som kan logge inn. Derfor eksporterer jeg rett før endringen og gir filen navn med dato og enkeltinnstilling jeg har tenkt å berøre. Gjenoppretting av en månedgammel fil gjenoppretter også en månedgammel tunnel og en månedgammel nøkkel.

Hvis plattformen bare laster inn arkiver fra samme utgivelse, merk det nå: en fastvareoppgradering pluss en VPN-redigering i ett vindu lar deg holde en fil som ruteren ikke vil godta.

Bevis en vei inn som hopper over tunnelen

En andre SSH-økt fra samme bærbare til samme offentlige adresse er ikke en andre vei; begge dør sammen. Den uavhengige banen er en av disse: en seriell eller KVM-konsoll, en hypervisor eller skykonsoll, et administrasjons-VLAN tilgjengelig fra en vert som ikke er bak tunnelen, et andre WAN- eller LTE-modem med sin egen administrative regel, eller en person på stedet.

Test den valgte banen mens ruteren er frisk. Logg inn over den, åpne VPN-siden og stopp før du lagrer. Hvis en låseregel bare lar den nå dashbordet, har du fortsatt tid til å fikse det, og korrigeringen må sitte over avvisningsregelen i regelrekkefølgen.

De fleste rutere binder admin-tjenesten til et grensesnitt eller en adressefamilie, så en ut-av-bånd-rute må ankomme der den tjenesten lytter. Å utvide bindingen for vinduet fungerer, men det er i seg selv en endring av banen du er avhengig av.

Eksporter filen og skriv utløseren

Flytt eksporten fra ruteren og av maskinen som kan miste tunnelen. En sikkerhetskopi som er lagret på ruterens filsystem forsvinner i akkurat den feilen du planlegger for, og en som sitter på den bærbare datamaskinen som er i ferd med å miste tilkoblingen er knapt bedre.

Behandle den filen som en legitimasjon. Den har private nøkler, forhåndsdelte hemmeligheter, sertifikatmateriale og passordhasher, så krypter den eller lagre den med samme forsiktighet som ruterpåloggingen.

Skriv deretter en setning: hvis jeg ikke kan åpne en ny administrasjonsøkt fra PATH innen N minutter etter endringen, gjenoppretter jeg FILE og starter på nytt. Setningen tvinger omfanget ned til én variabel. Rute-, DNS- og brannmurredigeringer som er begått sammen, er raske å lagre og sakte å dele opp når du får ett forsøk til.

Bruk en commit-timer der plattformen har en

Flere plattformer vil angre endringen for deg hvis du ikke klarer å bekrefte den. RouterOS Safe Mode, lagt inn med Ctrl+X i en terminal, tilbakestiller endringene som er gjort i den økten når økten faller. Junos ruller tilbake en ubekreftet forpliktelse bekreftet. Cisco IOS-par laster inn på nytt med avbrytelse av omlasting. Bedriftsbrannmurer iscenesetter vanligvis ventende endringer med en automatisk tilbakestillingstidtaker. OpenWrt og de fleste forbrukerfirmware har ikke noe tilsvarende, så der må tidtakeren være ekstern: en planlagt gjenoppretting, en cron-jobb som bytter tilbake en fil og starter tjenesten på nytt, eller en omstart til forrige konfigurasjon.

Ikke anta at en funksjon med lignende navn dekker samme omfang. Ett produkts automatiske tilbakestilling kan kun dekke brannmurregler; en annen kan dekke hele konfigurasjonen, inkludert administrasjonsregelen du nettopp endret for å holde deg tilgjengelig. Les hva tidtakeren går tilbake før du stoler på den.

En tidtaker er ingen erstatning for en eksportert fil. Det mislykkes i det tilfellet som betyr mest her: økten overlever, ledelsesplanet gjør det ikke, og ingenting utløser noen gang tilbakestillingen.

Test en helt ny tilkobling, ikke den åpne

En etablert økt fortsetter ofte å jobbe gjennom endringer som blokkerer hvert nytt håndtrykk, fordi dens tilstand allerede eksisterer og policy blir evaluert når en tilkobling opprettes. Etter endringen oppretter du nye tilkoblinger fra den eksterne siden: en ny SSH-økt, et nytt VPN-håndtrykk fra en klient, en normal sideinnlasting til ruterens LAN-adresse.

# run these from the remote machine, in a new shell
ssh -o ConnectTimeout=8 admin@"$ROUTER_WAN"
nc -vz "$ROUTER_WAN" 443
dig +short example.internal "@$ROUTER_LAN"

Test deretter nedstrøms for tunnelen i stedet for selve tunnelen: navneoppløsning, en TCP-tilkobling til en intern tjeneste, og applikasjonen du faktisk bruker. En tunnel som etablerer, men ikke deler ut brukbar DNS, ser sunn ut i klientstatusen og ødelagt i nettleseren, og den forskjellen avgjør om du gjenoppretter filen eller fikser én regel.

Gjenta etter en tvungen frakobling og tilkopling igjen, og en gang til etter en omstart hvis plattformen gjenoppretter tilstanden ved oppstart. Noen konfigurasjoner består hver live-test og mislykkes ved første oppstart med de nye reglene på plass.

Lukk dørene du åpnet for vinduet

Fjern den midlertidige administratorregelen for hvilken som helst kilde, kastkontoen, den utvidede bindingen, den tillate DNS-regelen og feilsøkingsloggingen. Denne fjerningen er i seg selv en endring på banen du er avhengig av, så kjør den nye tilkoblingstesten på nytt etter den, fra den eksterne siden.

Behold den eksporterte filen til endringen har overlevd en omstart og en reell klienttilkobling, og roter deretter alt du delte mens vinduet var åpent. En konfigurasjon som fungerer til neste oppstart er en rolig måte å miste en ruter på en uke senere, når ingen husker hvilken regel som var midlertidig.

Skriv ned endringen der neste person ser: hva som flyttet, hvilken fil angrer den, hvilken bane som når konsollen, og hvilken regel som var midlertidig.

Før du åpner VPN-siden, må fire ting eksistere: en gjenopprettingsflyt du har testet, en andre bane du har bevist, en eksportert fil du faktisk kan nå, og en skriftlig trigger. Hvis noen mangler, fiks det først. Endringen kan vente en time; en lockout kan ikke.