Zamknutí vonku z vášho VPN servera: nechajte si druhú cestu dnu
Pokazený tunel by vám nemal vziať ani schopnosť opraviť server. Naplánujte, otestujte a skontrolujte nezávislú administratívnu cestu skôr, než ju budete potrebovať.
Otvoríte konzolu, zmeníte jedno pravidlo firewallu a tunel, cez ktorý ste boli pripojení, zmizne. Zmena bola správna, reload nie, a teraz je jediná cesta späť do stroja tá, ktorú ste práve rozbili. Druhá cesta dnu je dizajnové rozhodnutie a musí existovať pred výpadkom, nie počas neho.
Prejdite si, čo vám ešte zostalo
Začnite pri obrazovke konzoly pred sebou a vypíšte cesty, ktoré nezávisia od tunela. Webová konzola poskytovateľa so sériovým alebo VNC sedením je jedna. Rozhranie správy v oddelenej sieti je ďalšia. Fyzický prístup je tretí, a práve ten ľudia zistia, že chýba, v tej najhoršej chvíli.
| Path | Depends on | Usually fails when |
|---|---|---|
| Provider console | Account access and the provider's own API | Credentials live in a wiki only reachable over the tunnel |
| Management subnet | A second interface and its own routing | The bad change was a global route or firewall policy |
| Second tunnel | A different listener, port and credentials | Both listeners were changed in the same edit |
| Physical or local console | Being in the building | Nobody has been in the building for a year |
Čítajte tretí stĺpec ako zoznam porúch, nie ako abstrakciu. Dve z tých ciest zvyčajne zlyhávajú z rovnakého dôvodu. Tabuľka je spôsob, ako si to všimnete skôr, než vám to výpadok vysvetlí.
Nezávislosť je otázka závislostí
Účet na obnovu nie je nezávislý, ak je jeho heslo uložené v službe, ku ktorej sa dostanete cez tunel. Druhý VPN na tom istom hostiteľovi, tom istom porte a s tou istou politikou firewallu tiež nie je nezávislý, pretože zmena, ktorá rozbila prvý, rozbije oba.
Prejdite reťazec nadol a pomenujte, čo každý krok potrebuje. Sieťová dostupnosť, preklad mien, zdroj autentifikácie a samotná služba správy sú štyri oddelené závislosti a cesta, ktorá zdieľa ktorúkoľvek z nich, tú poruchu dedí.
Cesta, ktorá nebola nikdy otestovaná, si zaslúži vlastné podozrenie. Konzola, ktorá nebola mesiace otvorená, môže vyžadovať reset hesla e-mailom a tá schránka môže byť hostovaná na stroji, ku ktorému sa nedostanete. Otestujte cestu, kým všetko funguje, a nájdete to v pokojné popoludnie.
Použite druhú cestu na jednu riadenú zmenu
Z konzoly urobte snímku alebo skopírujte konfiguráciu, ktorú sa chystáte upraviť. Zmeňte jednu vec. Znovu načítajte službu a prečítajte výsledok, kým sa dotknete čohokoľvek ďalšieho, pretože dve zmeny naraz menia obnovu na experiment.
Nechajte sedenie obnovy otvorené, kým to robíte. Celá hodnota druhej cesty je v tom, že prežije vec, ktorú meníte, takže jej prvým zatvorením odstránite jedinú vlastnosť, ktorá ju robila užitočnou.
Overujte z cesty obnovy, nie z pamäti
Kontrola, na ktorej záleží, je, či sa normálna cesta vráti, a sedenie obnovy je miesto, kde to potvrdíte v poradí:
systemctl status openvpn-server@server --no-pager ss -lntup | grep -E ':(1194|443)\b' nft list ruleset | sed -n '1,40p' journalctl -u openvpn-server@server --since '-10 min' --no-pager | tail -n 30
Najprv prečítajte stav služby, potom naslúchač, potom pravidlá a nakoniec žurnál. Služba, ktorá beží bez naslúchača, ukazuje na konfiguráciu služby, zatiaľ čo naslúchač bez dostupných pravidiel ukazuje na filtrovanie. Poradie je dôležité, pretože každý krok zužuje ten nasledujúci, a preskočenie rovno k žurnálu zvyčajne znamená čítanie chýb, ktoré opisujú symptóm, nie príčinu.
Dokumentácia systemctl pokrýva správanie stavu a reštartu použité tu, vrátane toho, ako neúspešný reload necháva predchádzajúci proces bežať. Obnovenie súvislej revízie je lepšie ako opakované pripájanie z klienta, ktorý server nedokáže opraviť. Ak je splnená podmienka pre vrátenie, ktorú ste definovali pred zmenou, obnovte a zastavte sa.
Udržujte inventár aktuálny
Keď sa zmenia ľudia alebo infraštruktúra, prejdite zoznam prístupov. Otestujte cestu obnovy, kým všetko funguje. Zrušte účty, ktoré nikto nepoužil od poslednej reorganizácie. Dva zastarané účty a jeden prepadnutý certifikát sú drobné upratovanie v utorok a výpadok v nedeľu.
Zaznamenajte, kto môže každú cestu použiť, čo dovoľuje a ako sa obmieňajú prihlasovacie údaje. Cesta obnovy bez vlastníka sa stane zabudnutým vchodom, čo je iný druh poruchy než zostať zamknutý vonku.