Jak zaplanować wycofanie VPN routera przed zdalną zmianą

Masz zamiar edytować tunel, w którym znajduje się Twoja własna sesja, więc praca, która Cię oszczędza, ma miejsce przed zmianą, a nie w trakcie zamieszania po niej. Sieci bezpieczeństwa nie ma na stronie VPN: jest to ekran przywracania, konsola lub druga ścieżka, która nie przebiega przez edytowane urządzenie. Planuję wszystkie trzy na tym samym interfejsie routera, który mam zamiar edytować, i używam ścieżki raz, gdy wszystko nadal działa. To jest instrukcja, którą podążam, w kolejności.

Przejdź proces przywracania, zanim będzie potrzebny

Otwórz stronę, która cofnie zmianę. Na pfSense, czyli Diagnostyka > Kopia zapasowa i przywracanie; w OpenWrt jest to System > Kopia zapasowa/Flash Firmware; w OPNsense jest to System > Konfiguracja > Kopie zapasowe, w którym przechowywane są również poprzednie wersje, do których można wrócić bez pliku. Jeszcze niczego nie przywracasz. Sprawdzasz, czy ta strona otworzy się ze ścieżki, którą będziesz miał podczas zmiany, czy będzie wymagała późniejszego ponownego uruchomienia i czy odrzuci archiwum zapisane w innej wersji oprogramowania sprzętowego. Netgate dokumentuje własny przepływ eksportu i przywracania pod adresem docs.netgate.com.

Przywrócenie powoduje zamianę całej konfiguracji, zatem nie jest to cofnięcie jednej reguły. W archiwum znajdują się użytkownicy, certyfikaty, klucze VPN, reguły zapory sieciowej i ustawienia interfejsu administratora, które decydują, kto może się zalogować. Dlatego eksportuję bezpośrednio przed zmianą i nazywam plik datą oraz pojedynczym ustawieniem, którego zamierzam dotknąć. Przywrócenie pliku sprzed miesiąca przywraca również miesięczny tunel i klucz sprzed miesiąca.

Jeśli platforma ładuje tylko archiwa z tej samej wersji, zwróć na to uwagę teraz: aktualizacja oprogramowania sprzętowego i edycja VPN w jednym oknie pozostawiają plik, którego router nie zaakceptuje.

Udowodnij, że można ominąć tunel

Druga sesja SSH z tego samego laptopa na ten sam adres publiczny nie jest drugą ścieżką; oboje umierają razem. Niezależna ścieżka to jedna z poniższych: konsola szeregowa lub KVM, hiperwizor lub konsola w chmurze, zarządzająca sieć VLAN osiągalna z hosta, który nie znajduje się za tunelem, drugi modem WAN lub LTE z własną regułą administracyjną lub osoba na miejscu.

Przetestuj wybraną ścieżkę, gdy router jest w dobrym stanie. Zaloguj się przez niego, otwórz stronę VPN i zatrzymaj się przed zapisaniem. Jeśli reguła blokowania pozwala tylko dotrzeć do pulpitu nawigacyjnego, nadal masz czas, aby to naprawić, a poprawka musi znajdować się nad regułą odmowy w kolejności reguł.

Większość routerów wiąże usługę administracyjną z interfejsem lub rodziną adresów, więc trasa poza pasmem musi dotrzeć tam, gdzie nasłuchuje ta usługa. Poszerzenie powiązania okna działa, ale samo w sobie jest zmianą ścieżki, na której polegasz.

Wyeksportuj plik i napisz wyzwalacz

Przenieś eksport z routera i poza maszynę, która może utracić tunel. Kopia zapasowa przechowywana w systemie plików routera znika dokładnie w przypadku awarii, którą planujesz, a kopia zapasowa znajdująca się na laptopie, który wkrótce utraci łączność, jest niewiele lepsza.

Traktuj ten plik jako dane uwierzytelniające. Przechowuje klucze prywatne, wstępnie udostępnione sekrety, materiał certyfikatu i skróty haseł, więc szyfruj je lub przechowuj z taką samą ostrożnością, jak login do routera.

Następnie napisz jedno zdanie: jeśli nie mogę otworzyć nowej sesji zarządzania z PATH w ciągu N minut od zmiany, przywracam PLIK i uruchamiam ponownie. Zdanie ogranicza zakres do jednej zmiennej. Zmiany tras, DNS i zapory sieciowej wprowadzone razem można szybko zapisać i wolniej podzielić na pół, gdy podejmiesz jeszcze jedną próbę.

Użyj licznika czasu zatwierdzenia, jeśli platforma go posiada

Kilka platform cofnie zmianę, jeśli jej nie potwierdzisz. Tryb awaryjny RouterOS, uruchamiany za pomocą Ctrl+X w terminalu, cofa zmiany dokonane w tej sesji, gdy sesja się kończy. Junos wycofuje potwierdzone, niepotwierdzone zatwierdzenie. Pary Cisco IOS ponownie ładują się z anulowaniem ponownego ładowania. Zapory sieciowe dla przedsiębiorstw często wprowadzają oczekujące zmiany za pomocą licznika czasu automatycznego przywracania. OpenWrt i większość oprogramowania konsumenckiego nie mają żadnego odpowiednika, więc w tym przypadku licznik czasu musi być zewnętrzny: zaplanowane przywracanie, zadanie cron, które zamienia plik z powrotem i uruchamia ponownie usługę lub ponowne uruchomienie do poprzedniej konfiguracji.

Nie zakładaj, że funkcja o podobnej nazwie obejmuje ten sam zakres. Automatyczne przywracanie jednego produktu może obejmować tylko reguły zapory sieciowej; inny może obejmować całą konfigurację, w tym regułę zarządzania, którą właśnie zmieniłeś, aby zapewnić sobie dostępność. Przeczytaj, co licznik czasu cofa, zanim na nim polegasz.

Timer nie zastępuje wyeksportowanego pliku. Zawodzi w przypadku, który ma tutaj największe znaczenie: sesja trwa, płaszczyzna zarządzania nie i nic nigdy nie powoduje powrotu.

Przetestuj zupełnie nowe połączenie, a nie otwarte

Ustanowiona sesja często pracuje nad zmianami, które blokują każdy nowy uścisk dłoni, ponieważ jego stan już istnieje, a zasady są oceniane podczas tworzenia połączenia. Po zmianie utwórz nowe połączenia ze strony zdalnej: świeża sesja SSH, świeży uzgadnianie VPN od klienta, normalne ładowanie strony na adres LAN routera.

# run these from the remote machine, in a new shell
ssh -o ConnectTimeout=8 admin@"$ROUTER_WAN"
nc -vz "$ROUTER_WAN" 443
dig +short example.internal "@$ROUTER_LAN"

Następnie przetestuj dalszą część tunelu, a nie sam tunel: rozpoznawanie nazw, połączenie TCP z usługą wewnętrzną i aplikację, której faktycznie używasz. Tunel, który ustanawia, ale nie udostępnia żadnego użytecznego DNS, wygląda na zdrowy w statusie klienta i uszkodzony w przeglądarce, a ta różnica decyduje o tym, czy przywrócisz plik, czy naprawisz jedną regułę.

Powtórz tę czynność po wymuszonym rozłączeniu i ponownym podłączeniu oraz jeszcze raz po ponownym uruchomieniu, jeśli platforma ponownie zastosuje stan podczas rozruchu. Niektóre konfiguracje przechodzą każdy test na żywo i nie przy pierwszym uruchomieniu przy zastosowaniu nowych reguł.

Zamknij drzwi, które otworzyłeś na okno

Usuń tymczasową regułę administratora dowolnego źródła, konto jednorazowe, rozszerzone powiązanie, zezwalającą regułę DNS i rejestrowanie debugowania. To usunięcie samo w sobie jest zmianą w ścieżce, na której polegasz, więc ponownie uruchom po nim test świeżego połączenia, ze zdalnej strony.

Przechowuj wyeksportowany plik do czasu, aż zmiana przetrwa ponowne uruchomienie i ponowne połączenie prawdziwego klienta, a następnie zmień wszystko, co udostępniłeś, gdy okno było otwarte. Konfiguracja, która działa do następnego uruchomienia, to cichy sposób na utratę routera tydzień później, kiedy nikt nie pamięta, która reguła była tymczasowa.

Zapisz zmianę tam, gdzie będzie patrzeć następna osoba: co zostało przeniesione, który plik cofa tę zmianę, która ścieżka dociera do konsoli i która reguła była tymczasowa.

Zanim otworzysz stronę VPN, muszą istnieć cztery rzeczy: przetestowany proces przywracania, sprawdzona druga ścieżka, wyeksportowany plik, do którego faktycznie możesz dotrzeć, oraz pisemny wyzwalacz. Jeśli któregoś brakuje, napraw to w pierwszej kolejności. Zmiana może poczekać godzinę; blokada nie może.