Cum să planificați o retragere a unui router VPN înainte de o schimbare de la distanță

Sunteți pe cale să editați tunelul care conține propria dvs, sesiune, astfel încât munca care vă salvează are loc înainte de schimbare, nu în timpul luptei după aceasta. Rețeaua de siguranță nu se află pe pagina VPN: este ecranul de restaurare, o consolă sau o a doua cale care nu trece prin dispozitivul pe care îl editați. Le planific pe toate trei pe aceeași interfață de router pe care urmează să o editez și folosesc calea o dată, cât timp totul funcționează. Acesta este tutorialul pe care îl urmez, în ordine.

Mergeți pe fluxul de restabilire înainte de a avea nevoie de el

Deschideți pagina care v-ar anula modificarea. Pe pfSense, adică Diagnostics > Backup & Restore; pe OpenWrt este System > Backup / Flash Firmware; pe OPNsense este System > Configuration > Backups, care păstrează, de asemenea, revizuirile anterioare la care puteți reveni fără un fișier. Încă nu restaurați nimic. Verificați dacă pagina respectivă se deschide din calea pe care o veți avea în timpul schimbării, dacă dorește o repornire după aceea și dacă respinge o arhivă scrisă de o versiune diferită a firmware-ului. Netgate își documentează propriul flux de export și restaurare la docs.netgate.com.

O restaurare schimbă întreaga configurație, deci nu este o anulare pentru o singură regulă. Arhiva conține utilizatori, certificate, chei VPN, reguli de firewall și setările interfeței de administrare care decid cine se poate conecta. De aceea, export imediat înainte de modificare și numesc fișierul cu data și singura setare pe care intenționez să o ating. Restaurarea unui fișier vechi de o lună restaurează și un tunel vechi de o lună și o cheie de o lună.

Dacă platforma încarcă numai arhive din aceeași ediție, rețineți acum: o actualizare a firmware-ului plus o editare VPN într-o singură fereastră vă lasă în păstrarea unui fișier pe care routerul nu îl va accepta.

Demonstrează o modalitate prin care sări peste tunel

O a doua sesiune SSH de la același laptop la aceeași adresă publică nu este o a doua cale; amândoi mor împreună. Calea independentă este una dintre acestea: o consolă serială sau KVM, un hypervisor sau o consolă cloud, un VLAN de management accesibil de la o gazdă care nu se află în spatele tunelului, un al doilea modem WAN sau LTE cu propria regulă administrativă sau o persoană la fața locului.

Testați calea aleasă în timp ce routerul este sănătos. Conectați-vă peste el, deschideți pagina VPN și opriți-vă înainte de a salva. Dacă o regulă de blocare îi permite să ajungă doar pe tabloul de bord, mai aveți timp să remediați acest lucru, iar corecția trebuie să stea deasupra regulii de refuzare în ordinea regulii.

Majoritatea routerelor leagă serviciul de administrare la o interfață sau la o familie de adrese, așa că o rută în afara bandă trebuie să ajungă acolo unde acel serviciu ascultă. Lărgirea legăturii pentru fereastră funcționează, dar este în sine o schimbare a căii de care depindeți.

Exportați fișierul și scrieți declanșatorul

Mutați exportul de pe router și de pe mașina care își poate pierde tunelul. O copie de rezervă stocată pe sistemul de fișiere al routerului dispare exact în eșecul pe care îl plănuiți, iar unul așezat pe laptop care este pe cale să-și piardă conectivitatea este abia mai bine.

Tratați acel fișier ca pe o acreditare. Deține chei private, secrete predistribuite, material de certificat și hash-uri pentru parole, așa că criptați-l sau stocați-l cu aceeași grijă ca și datele de conectare la router.

Apoi scrieți o propoziție: dacă nu pot deschide o nouă sesiune de gestionare de la [[PATH]] în termen de N minute de la modificare, refac [[FILE]] și repornesc. Propoziția forțează domeniul de aplicare la o variabilă. Editările de rută, DNS și firewall efectuate împreună se salvează rapid și încetinesc să se divizeze atunci când mai obțineți o încercare.

Utilizați un cronometru de comitere acolo unde platforma are unul

Mai multe platforme vor anula modificarea pentru dvs, dacă nu o confirmați. RouterOS Safe Mode, introdus cu Ctrl+X într-un terminal, revine modificările făcute în acea sesiune atunci când sesiunea scade. Junos derulează înapoi o comitere neconfirmată confirmată. Reîncărcarea perechilor Cisco IOS cu anularea reîncărcării. Firewall-urile de întreprindere organizează de obicei modificările în așteptare cu un temporizator de revenire automată. OpenWrt și majoritatea firmware-ului de consum nu au nimic echivalent, așa că acolo cronometrul trebuie să fie extern: o restaurare programată, o lucrare cron care schimbă un fișier înapoi și repornește serviciul sau o repornire în configurația anterioară.

Nu presupuneți că o caracteristică cu nume similar acoperă același domeniu de aplicare. Revenirea automată a unui produs poate acoperi doar regulile firewall; altul poate acoperi întreaga configurație, inclusiv regula de management pe care tocmai ați schimbat-o pentru a vă menține accesibil. Citiți ce revine cronometrul înainte de a vă baza pe el.

Un cronometru nu înlocuiește un fișier exportat. Eșuează în cazul care contează cel mai mult aici: sesiunea supraviețuiește, planul de management nu și nimic nu declanșează vreodată revenirea.

Testați o conexiune nou-nouță, nu cea deschisă

O sesiune stabilită continuă adesea să lucreze prin modificări care blochează fiecare nouă strângere de mână, deoarece starea sa există deja și politica este evaluată atunci când este creată o conexiune. După modificare, creați conexiuni noi de la distanță: o nouă sesiune SSH, o nouă strângere de mână VPN de la un client, o încărcare normală a paginii la adresa LAN a routerului.

# run these from the remote machine, in a new shell
ssh -o ConnectTimeout=8 admin@"$ROUTER_WAN"
nc -vz "$ROUTER_WAN" 443
dig +short example.internal "@$ROUTER_LAN"

Apoi testați în aval de tunel, mai degrabă decât tunelul în sine: rezoluția numelui, o conexiune TCP la un serviciu intern și aplicația pe care o utilizați de fapt. Un tunel care stabilește, dar nu distribuie un DNS utilizabil, arată sănătos în starea clientului și spart în browser, iar această diferență decide dacă restaurați fișierul sau reparați o regulă.

Repetați după o deconectare și reconectare forțată și încă o dată după o repornire dacă platforma reaplica starea la pornire. Unele configurații trec fiecare test live și eșuează la prima pornire cu noile reguli în vigoare.

Închideți ușile pe care le-ați deschis pentru fereastră

Eliminați regula temporară de administrare orice sursă, contul de aruncat, legarea extinsă, regula DNS permisivă și jurnalul de depanare. Această eliminare este în sine o schimbare a căii de care depindeți, așa că reluați testul de conexiune proaspătă după aceasta, din partea de la distanță.

Păstrați fișierul exportat până când modificarea a supraviețuit repornirii și reconectarii unui client real, apoi rotiți orice ați partajat în timp ce fereastra era deschisă. O configurație care funcționează până la următoarea pornire este o modalitate liniștită de a pierde un router o săptămână mai târziu, când nimeni nu își amintește care regulă a fost temporară.

Scrieți modificarea unde arată următoarea persoană: ce s-a mutat, ce fișier o anulează, ce cale ajunge la consolă și care regulă a fost temporară.

Înainte de a deschide pagina VPN, trebuie să existe patru lucruri: un flux de restaurare pe care l-ați testat, o a doua cale pe care ați dovedit-o, un fișier exportat la care puteți ajunge efectiv și un declanșator scris. Dacă lipsește cineva, reparați-o mai întâi. Schimbarea poate aștepta o oră; un blocaj nu poate.