Kako varno povrniti konfiguracijo strežnika VPN

Povrnitev strežnika je odločitev o tem, katera plast je odpovedala, ne vaja v kopiranju datotek. Konfiguracija, poverilnice in različice paketov se premikajo po ločenih urah, in obnovitev ene, medtem ko druge ostajajo ažurne, ustvari gostitelja, ki je videti zdrav in se obnaša nedosledno. Spodnje zaporedje predpostavlja, da je sprememba že šla narobe, in zahteva obnovitev najmanjšega skladnega stanja. Prehodite ga po vrsti in obravnavajte preverjanje dostopa zunaj pasu kot korak, ki ga nihče ne bi smel preskočiti.

Naredite kontrolno točko, ki jo res lahko obnovite

Zabeležite konfiguracijo, ki jo storitev bere ob zagonu, skupaj z različico, ki jo je nazadnje razčlenila. Datoteka, ki se je v starejši izdaji nalagala čisto, je lahko po nadgradnji zavrnjena ali tiho prezrta, zato različica spada v isto opombo. Vključite gradivo, na katero se konfiguracija sklicuje: zasebne ključe, poti do potrdil, definicije poslušalcev ter vnose DNS in požarnega zidu, ki storitev naredijo dosegljivo. Če bi obnovitev potrebovala datoteko, ki je niste shranili, je kontrolna točka nepopolna.

Poimenujte lastnika vsake nastavitve, dokler je sistem še zdrav. Pot, ki jo namesti plošča ponudnika, pot, ki jo doda požarni zid gostitelja, in pot, ki se pošlje odjemalcem, so trije različni objekti, in obnovitev napačne pusti drugi dve na mestu. Kratka tabela z nastavitvijo, lastnikom in potjo do datoteke zadošča.

Preklice hranite ločeno od konfiguracije

Stara konfiguracija lahko tiho znova poveže napravo, ki ste jo namerno odstranili, kar povrnitev spremeni v varnostno regresijo. Ohranite trenutni seznam preklicev in onemogočene račune, medtem ko obnavljate omrežno politiko, nato jih znova uporabite, preden storitev sprejme odjemalce.

Stanje identitete obravnavajte kot lastno povrnitev z lastnimi dokazi. Datoteke preklica potrdil, onemogočanje računov in registracija MFA redko živijo na istem mestu kot konfiguracija demona, in obnovitev konfiguracije se jih ne bo dotaknila. Najprej preverite trenutno stanje, da veste, kaj mora preživeti. Po obnovitvi potrdite, da se odstranjena identiteta še vedno ne more povezati.

Dosezite gostitelja, ko tunel odpove

Odprite pot do stroja, ki ni odvisna od komponente, ki se spreminja. Konzola hipervizorja, naslov upravljanja na ločenem vmesniku ali serijska konzola vse ustrezajo; seja SSH, ki jo nosi tunel, ne. Če je edini vhod VPN, ki ga boste znova zagnali, vam slaba pot ali pravilo požarnega zidu odvzame zmožnost, da to popravite. Preizkusite nadomestno pot pred spremembo, ne po njej. Prijavite se skozi njo enkrat, potrdite, da sudo deluje, in zapišite točen naslov, ki ste ga uporabili.

Preizkus je preprost: spustite tunel, medtem ko ste povezani po nadomestni poti, in poglejte, ali seja preživi. Če pade, ste našli napako, preden vas je lahko ustavila.

Uporabite eno revizijo in vedite, kdaj začne veljati

Uporabite dokumentacijo storitve za reload ali restart in ugotovite, katere direktive se berejo kdaj. Nekatere vrednosti veljajo ob reloadu, druge šele ko se začne nova seja ali proces, zato urejanje datoteke ne dokazuje ničesar o delujočem stanju. Obnovite eno revizijo, namesto da bi mešali novo datoteko s starim izvajalnim stanjem. V dvomu je popoln ponovni zagon storitve lažje utemeljiti kot delni reload.

Pred izbiro preverite definicijo enote: systemctl show -p ExecReload openvpn@server vam pove, ali sploh obstaja kavelj za reload. Nato uporabite revizijo in preberite v dnevniku prve nove napake, preden spremenite kar koli drugega.

Preverite, zabeležite in nato raziščite

Povežite enega pooblaščenega odjemalca in preizkusite, čemu je storitev namenjena: razreševanju imen, ponovni povezavi in aplikaciji, ki je odpovedala. Potrdite, da je preklicana identiteta še vedno zavrnjena. Zabeležite obnovljeno revizijo, čas in razlog, ker bo naslednji upravljavec potreboval vse tri. Povrnitev, ki je nihče ni dokumentiral, postane uganka, ko se storitev naslednjič obnaša slabo.

systemctl status openvpn@server --no-pager
journalctl -u openvpn@server -n 50 --no-pager

Ko je storitev stabilna, ponovite neuspešno spremembo na gostitelju ali posnetku, ki ga lahko zavržete. To loči slabo konfiguracijo od slabega paketa ali poteklega potrdila. Ohranjajte obnovljeno konfiguracijo pod nadzorom različic, da se naslednja kontrolna točka začne z znanim commitom. Smisel vaje je dokumentirana končna točka, ne trajna vrnitev na starejšo različico.