Ako naplánovať vrátenie smerovača VPN pred vzdialenou zmenou

Chystáte sa upraviť tunel, ktorý nesie vašu vlastnú reláciu, takže práca, ktorá vás zachráni, sa uskutoční pred zmenou, nie počas scramble po nej. Bezpečnostná sieť nie je na stránke VPN: je to obrazovka obnovenia, konzola alebo druhá cesta, ktorá neprechádza cez zariadenie, ktoré upravujete. Všetky tri plánujem na rovnakom rozhraní smerovača, ktoré sa chystám upraviť, a cestu použijem raz, kým všetko stále funguje. Toto je návod, ktorý sledujem, v poradí.

Prejdite procesom obnovenia skôr, ako ho budete potrebovať

Otvorte stránku, ktorá by vašu zmenu vrátila späť. V pfSense je to Diagnostika > Zálohovanie a obnovenie; na OpenWrt je to System > Backup / Flash Firmware; na OPNsense je to Systém > Konfigurácia > Zálohy, kde sú uložené aj predchádzajúce revízie, ku ktorým sa môžete vrátiť bez súboru. Zatiaľ nič neobnovujete. Kontrolujete, či sa táto stránka otvára z cesty, ktorú budete mať počas zmeny, či chce potom reštartovať a či odmieta archív napísaný v inom vydaní firmvéru. Netgate dokumentuje svoj vlastný export a tok obnovy na docs.netgate.com.

Obnova zamieňa celú konfiguráciu, takže nejde o vrátenie jedného pravidla späť. Archív obsahuje používateľov, certifikáty, kľúče VPN, pravidlá brány firewall a nastavenia administrátorského rozhrania, ktoré rozhodujú o tom, kto sa môže prihlásiť. Preto bezprostredne pred zmenou exportujem a pomenujem súbor s dátumom a jediným nastavením, ktorého sa chcem dotknúť. Obnova súboru starého mesiac obnoví aj mesiac starý tunel a mesiac starý kľúč.

Ak platforma načítava iba archívy z rovnakého vydania, všimnite si to teraz: aktualizácia firmvéru plus úprava VPN v jednom okne vám ponechá súbor, ktorý smerovač neprijme.

Ukážte spôsob, ktorý preskočí tunel

Druhá relácia SSH z rovnakého notebooku na rovnakú verejnú adresu nie je druhou cestou; obaja spolu zomierajú. Nezávislá cesta je jedna z týchto: sériová alebo KVM konzola, hypervízor alebo cloudová konzola, manažérska VLAN dostupná z hostiteľa, ktorý nie je za tunelom, druhý WAN alebo LTE modem s vlastným administratívnym pravidlom alebo osoba na mieste.

Otestujte zvolenú cestu, kým je smerovač v poriadku. Prihláste sa cez ňu, otvorte stránku VPN a pred uložením zastavte. Ak sa pravidlo uzamknutia dostane len na palubnú dosku, stále máte čas to opraviť a oprava musí byť nad pravidlom odmietnutia v poradí pravidiel.

Väčšina smerovačov spája službu správcu s rozhraním alebo rodinou adries, takže tam, kde táto služba počúva, musí doraziť mimopásmová trasa. Rozšírenie väzby pre okno funguje, ale je to samo o sebe zmena cesty, na ktorej ste závislí.

Exportujte súbor a napíšte spúšťač

Presuňte export zo smerovača a zo stroja, ktorý by mohol stratiť tunel. Záloha uložená v súborovom systéme smerovača zmizne presne pri zlyhaní, na ktoré plánujete, a záloha, ktorá sedí na notebooku a čoskoro stratí pripojenie, je sotva lepšia.

S týmto súborom zaobchádzajte ako s poverením. Obsahuje súkromné kľúče, vopred zdieľané tajomstvá, materiál certifikátov a hash hesiel, takže ho zašifrujte alebo uložte s rovnakou starostlivosťou ako prihlásenie do smerovača.

Potom napíšte jednu vetu: ak nemôžem otvoriť novú reláciu správy z PATH do N minút od zmeny, obnovím FILE a reštartujem. Veta znižuje rozsah na jednu premennú. Úpravy trasy, DNS a firewallu vykonané spoločne sa rýchlo ukladajú a pri ďalšom pokuse sa pomaly delia na polovicu.

Použite časovač odovzdania tam, kde ho platforma má

Ak zmenu nepotvrdíte, viaceré platformy za vás vrátia späť zmenu. Bezpečný režim RouterOS, zadaný pomocou Ctrl+X v termináli, vráti zmeny vykonané v tejto relácii, keď relácia klesne. Junos vracia späť nepotvrdený potvrdený záväzok. Páry Cisco IOS sa znova načítajú so zrušením opätovného načítania. Firemné brány firewall bežne pripravujú čakajúce zmeny pomocou časovača automatického vrátenia. OpenWrt a väčšina spotrebiteľského firmvéru nemajú nič ekvivalentné, takže tam musí byť časovač externý: plánované obnovenie, úloha cron, ktorá vymení súbor späť a reštartuje službu, alebo reštart do predchádzajúcej konfigurácie.

Nepredpokladajte, že podobne pomenovaná funkcia pokrýva rovnaký rozsah. Automatický návrat jedného produktu môže pokrývať iba pravidlá brány firewall; iný môže pokrývať celú konfiguráciu vrátane pravidla správy, ktoré ste práve zmenili, aby ste boli stále dostupní. Prečítajte si, čo časovač vráti, skôr ako sa naň spoľahnete.

Časovač nenahrádza exportovaný súbor. Zlyhá v prípade, ktorý je tu najdôležitejší: relácia prežije, úroveň riadenia nie a nič nikdy nespustí návrat.

Otestujte úplne nové pripojenie, nie otvorené

Zavedená relácia často pokračuje v práci prostredníctvom zmien, ktoré blokujú každé nové podanie ruky, pretože jeho stav už existuje a politika sa vyhodnocuje pri vytváraní spojenia. Po zmene vytvorte nové pripojenia zo vzdialenej strany: nová relácia SSH, nový handshake VPN od klienta, normálne načítanie stránky na adresu LAN smerovača.

# run these from the remote machine, in a new shell
ssh -o ConnectTimeout=8 admin@"$ROUTER_WAN"
nc -vz "$ROUTER_WAN" 443
dig +short example.internal "@$ROUTER_LAN"

Potom otestujte po prúde tunela namiesto samotného tunela: rozlíšenie názvov, pripojenie TCP k internej službe a aplikáciu, ktorú skutočne používate. Tunel, ktorý vytvára, ale nerozdáva žiadne použiteľné DNS, vyzerá zdravo v stave klienta a je poškodený v prehliadači a tento rozdiel rozhoduje o tom, či obnovíte súbor alebo opravíte jedno pravidlo.

Opakujte po vynútenom odpojení a opätovnom pripojení a ešte raz po reštarte, ak sa platforma znova použije pri zavádzaní. Niektoré konfigurácie prejdú každým živým testom a zlyhajú pri prvom spustení s novými pravidlami.

Zatvorte dvere, ktoré ste otvorili pre okno

Odstráňte dočasné pravidlo správcu akéhokoľvek zdroja, účet na zahodenie, rozšírenú väzbu, povoľujúce pravidlo DNS a protokolovanie ladenia. Toto odstránenie je samo o sebe zmenou na ceste, na ktorej závisíte, takže po ňom znova spustite test nového pripojenia zo vzdialenej strany.

Ponechajte exportovaný súbor, kým zmena neprežije reštart a opätovné pripojenie skutočného klienta, potom otočte čokoľvek, čo ste zdieľali, kým bolo okno otvorené. Konfigurácia, ktorá funguje až do ďalšieho spustenia, je tichý spôsob, ako stratiť smerovač o týždeň neskôr, keď si nikto nepamätá, ktoré pravidlo bolo dočasné.

Zapíšte si zmenu, kam sa pozrie ďalšia osoba: čo sa presunulo, ktorý súbor to zruší, ktorá cesta sa dostane do konzoly a ktoré pravidlo bolo dočasné.

Pred otvorením stránky VPN musia existovať štyri veci: tok obnovenia, ktorý ste otestovali, druhá cesta, ktorú ste overili, exportovaný súbor, ku ktorému sa skutočne dostanete, a napísaný spúšťač. Ak niektorá chýba, najprv ju opravte. Zmena môže počkať hodinu; výluka nemôže.