Pripravite serijsko pot obnovitve pred spremembo VPN v GCE

Drugo okno SSH na istem vmesniku ni pot obnovitve. Deli pot, pravilo požarnega zidu in demona, ki ga nameravate spremeniti, zato odpove točno v trenutku, ko ga potrebujete. Pred urejanjem poti VPN na VM v Compute Engine dokažite tri ločene stvari: da smete uporabljati serijsko konzolo, da lahko berete njen izhod in da vam bo gost res dal prijavo. Spodnje preveritve potekajo v tem vrstnem redu, najcenejša najprej, da se manjkajoče dovoljenje odkrije, preden postane pomembno.

Korak 1: potrdite dovoljenje na strani oblaka

Navedite točno VM, projekt in območje, nato preverite politiko serijskega dostopa, ki jo je odobrila organizacija. Skrbnik potrebuje ustrezno dovoljenje, interaktivni serijski dostop pa mora biti omogočen za ta primerek v okviru veljavnih kontrol projekta in organizacije.

Ne oslabite politike organizacije in ne vklopite dostopa do konzole za celoten projekt, da bi pripravili en stroj. Prosite lastnika, da dovoljeni mehanizem uredi pred poskusom, ne med izpadom.

Korak 2: dokažite, da lahko berete izhod

Branje serijskega izhoda je najcenejša preveritev in vadi prenos, ne da bi se dotaknilo prijave gosta:

gcloud compute instances get-serial-port-output VM_NAME \
    --project PROJECT_ID --zone ZONE --port 1

Zamenjajte identifikatorje in uporabite dovoljena vrata. Zagonska sporočila in klepet konzole povedo, da kanal deluje. Ne dokazujejo, da lahko dobite lupino. Zato je ta korak ločen od naslednjega.

Korak 3: dokažite, da lahko dobite interaktivno prijavo

Povezovalni ukaz odpre pravo sejo, ne predogleda:

gcloud compute connect-to-serial-port VM_NAME \
    --project PROJECT_ID --zone ZONE --port 1

Obravnavajte jo kot živo konzolo. Potrdite končno točko, preden vtipkate poverilnice, ker vsak pritisk tipke pristane na primerku.

Tu se sesuje načrt, ki je bil videti popoln. Dovoljenje v oblaku je ena meja, poziv za prijavo Linux pa druga, in prehod prve ne pove ničesar o drugi.

Korak 4: pripravite poverilnice, ki jih bo gost sprejel

Podobe Linuxa, ki jih ponuja Google, privzeto ne omogočajo lokalne prijave z geslom. Serijska seja lahko zato doseže poziv za prijavo in se tam ustavi, čaka na poverilnico, ki je nihče ni nastavil.

Odobren račun za obnovitev ali katera koli dokumentirana metoda prijave gosta, ki jo uporablja vaša namestitev, mora obstajati in biti preizkušena. Ključ SSH, ki deluje po omrežju, samodejno ne izpolni poziva za geslo konzole, zato preverite dejansko ureditev OS Login in ključev, namesto da predpostavljate, da pokriva ta primer.

Poverilnice za obnovitev hranite zasebno. Geslo root, prilepljeno v javni primer startup-script, je drugi incident, ki čaka, da se zgodi.

Korak 5: zabeležite lastnika in razveljavitev

Preden karkoli spremenite, ohranite delujočo omrežno konfiguracijo in zapišite, kdo jo upravlja, katera storitev VPN je vključena in kako se izvede razveljavitev. Iz delujoče seje zajemite trenutne poti, pravila in stanje storitve.

Prav ta zapis spremeni kanal obnovitve v popravilo, ker konzola daje le poziv. Zapišite ga pred spremembo, ne pozneje po spominu. Razveljavitev, kopirana iz wikija, ni razveljavitev. To je ugibanje s številko različice.

Korak 6: preverite po spremembi

Obstoječa seja SSH lahko preživi politiko, ki blokira nove, zato preizkusite s svežo običajno skrbniško sejo. Nato ločeno preizkusite spremenjeno vedenje VPN.

Držite kanal obnovitve odprt, dokler ne uspeta obe preveritvi, nato pa ga zaprite v skladu s politiko dostopa. Če je SSH že izgubljen in prijava prek konzole ni bila pripravljena, prenehajte serijski dostop obravnavati kot varnostno mrežo in začnite odobren potek obnovitve računa ali popravila primerka. Postavitev druge VM kot jump host ne popravi ne poti gosta ne manjkajočih poverilnic.