Como planejar uma reversão de VPN do roteador antes de uma mudança remota

Você está prestes a editar o túnel que carrega sua própria sessão, então o trabalho que o salva acontece antes da mudança, não durante a confusão depois dela. A rede de segurança não está na página da VPN: é a tela de restauração, um console ou um segundo caminho que não passa pelo dispositivo que você está editando. Planejo todos os três na mesma interface do roteador que estou prestes a editar e uso o caminho uma vez enquanto tudo ainda funciona. Este é o passo a passo que sigo, na ordem.

Siga o fluxo de restauração antes de precisar dele

Abra a página que desfaria sua alteração. No pfSense isso é Diagnóstico > Backup e Restauração; no OpenWrt é Sistema > Backup/Firmware Flash; no OPNsense é Sistema > Configuração > Backups, que também mantém revisões anteriores para as quais você pode reverter sem um arquivo. Você não está restaurando nada ainda. Você está verificando se essa página abre a partir do caminho que você terá durante a alteração, se deseja reinicializar posteriormente e se rejeita um arquivo escrito por uma versão de firmware diferente. Netgate documenta seu próprio fluxo de exportação e restauração em docs.netgate.com.

Uma restauração troca toda a configuração, portanto não é um desfazer de uma regra. O arquivo contém usuários, certificados, chaves VPN, regras de firewall e configurações da interface administrativa que decidem quem pode fazer login. É por isso que exporto imediatamente antes da alteração e nomeio o arquivo com a data e a configuração única que pretendo alterar. A restauração de um arquivo com um mês também restaura um túnel com um mês e uma chave com um mês.

Se a plataforma carrega apenas arquivos da mesma versão, observe agora: uma atualização de firmware mais uma edição de VPN em uma janela deixa você segurando um arquivo que o roteador não aceitará.

Prove um caminho que salta o túnel

Uma segunda sessão SSH do mesmo laptop para o mesmo endereço público não é um segundo caminho; ambos morrem juntos. O caminho independente é um destes: um console serial ou KVM, um hipervisor ou console em nuvem, uma VLAN de gerenciamento acessível a partir de um host que não esteja atrás do túnel, um segundo modem WAN ou LTE com sua própria regra administrativa ou uma pessoa no local.

Teste o caminho escolhido enquanto o roteador está íntegro. Faça login, abra a página da VPN e pare antes de salvar. Se uma regra de bloqueio apenas permitir que ela chegue ao painel, você ainda terá tempo para corrigir isso e a correção deverá ficar acima da regra de negação na ordem das regras.

A maioria dos roteadores vincula o serviço administrativo a uma interface ou família de endereços, portanto, uma rota fora de banda deve chegar onde esse serviço escuta. Ampliar a ligação da janela funciona, mas é em si uma mudança no caminho do qual você depende.

Exporte o arquivo e escreva o gatilho

Mova a exportação para fora do roteador e para fora da máquina que pode perder seu túnel. Um backup armazenado no sistema de arquivos do roteador desaparece exatamente na falha que você está planejando, e um backup no laptop que está prestes a perder a conectividade é um pouco melhor.

Trate esse arquivo como uma credencial. Ele contém chaves privadas, segredos pré-compartilhados, material de certificado e hashes de senha, portanto, criptografe-o ou armazene-o com o mesmo cuidado que o login do roteador.

Em seguida, escreva uma frase: se não conseguir abrir uma nova sessão de gerenciamento do PATH dentro de N minutos após a alteração, restauro o FILE e reinicio. A frase força o escopo para uma variável. As edições de rota, DNS e firewall comprometidas juntas são rápidas para serem salvas e lentas para serem divididas quando você faz mais uma tentativa.

Use um timer de commit onde a plataforma tiver um

Várias plataformas irão desfazer a alteração para você se você não conseguir confirmá-la. O modo de segurança do RouterOS, inserido com Ctrl+X em um terminal, reverte as alterações feitas naquela sessão quando a sessão é encerrada. Junos reverte um commit não confirmado confirmado. Os pares do Cisco IOS são recarregados com cancelamento de recarga. Os firewalls corporativos geralmente organizam alterações pendentes com um temporizador de reversão automática. O OpenWrt e a maioria dos firmwares de consumo não têm nada equivalente; portanto, o cronômetro deve ser externo: uma restauração agendada, um cron job que troca um arquivo de volta e reinicia o serviço ou uma reinicialização na configuração anterior.

Não presuma que um recurso com nome semelhante abrange o mesmo escopo. A reversão automática de um produto pode abranger apenas regras de firewall; outro pode abranger toda a configuração, incluindo a regra de gerenciamento que você acabou de alterar para se manter acessível. Leia o que o cronômetro reverte antes de confiar nele.

Um cronômetro não substitui um arquivo exportado. Ele falha no caso que mais importa aqui: a sessão sobrevive, o plano de gerenciamento não e nada aciona a reversão.

Teste uma conexão totalmente nova, não a aberta

Uma sessão estabelecida muitas vezes continua trabalhando através de alterações que bloqueiam cada novo aperto de mão, porque seu estado já existe e a política é avaliada quando uma conexão é criada. Após a alteração, crie novas conexões do lado remoto: uma nova sessão SSH, um novo handshake VPN de um cliente, um carregamento normal de página para o endereço LAN do roteador.

# run these from the remote machine, in a new shell
ssh -o ConnectTimeout=8 admin@"$ROUTER_WAN"
nc -vz "$ROUTER_WAN" 443
dig +short example.internal "@$ROUTER_LAN"

Em seguida, teste o downstream do túnel em vez do próprio túnel: resolução de nomes, uma conexão TCP com um serviço interno e o aplicativo que você realmente usa. Um túnel que estabelece, mas não distribui DNS utilizável, parece íntegro no status do cliente e quebrado no navegador, e essa diferença decide se você restaura o arquivo ou corrige uma regra.

Repita após uma desconexão e reconexão forçadas e mais uma vez após uma reinicialização se a plataforma reaplicar o estado na inicialização. Algumas configurações passam em todos os testes ao vivo e falham na primeira inicialização com as novas regras em vigor.

Feche as portas que você abriu para a janela

Remova a regra administrativa temporária de qualquer origem, a conta descartável, a vinculação ampliada, a regra DNS permissiva e o log de depuração. Essa remoção é em si uma mudança no caminho do qual você depende, então execute novamente o teste de nova conexão depois dele, do lado remoto.

Mantenha o arquivo exportado até que a alteração tenha sobrevivido a uma reinicialização e a uma reconexão do cliente real e, em seguida, gire tudo o que você compartilhou enquanto a janela estava aberta. Uma configuração que funciona até a próxima inicialização é uma maneira tranquila de perder um roteador uma semana depois, quando ninguém se lembra qual regra era temporária.

Anote a alteração onde a próxima pessoa olha: o que foi movido, qual arquivo a desfaz, qual caminho chega ao console e qual regra era temporária.

Antes de abrir a página da VPN, quatro coisas devem existir: um fluxo de restauração que você testou, um segundo caminho que você comprovou, um arquivo exportado que você pode realmente acessar e um gatilho escrito. Se algum estiver faltando, conserte-o primeiro. A mudança pode esperar uma hora; um bloqueio não pode.