Kako načrtovati povrnitev VPN usmerjevalnika pred oddaljeno spremembo

Uredili boste tunel, ki nosi vašo lastno sejo, tako da se delo, ki vas reši, zgodi pred spremembo, ne med premešanjem po njej. Varnostna mreža ni na strani VPN: to je zaslon za obnovitev, konzola ali druga pot, ki ne poteka skozi napravo, ki jo urejate. Vse tri načrtujem na istem vmesniku usmerjevalnika, ki ga nameravam urediti, in pot uporabim enkrat, medtem ko še vse deluje. Sledim navodilom po vrsti.

Prehodite obnovitveni tok, preden ga potrebujete

Odprite stran, ki bi razveljavila vašo spremembo. Na pfSense, ki je Diagnostics > Backup & Restore; na OpenWrt je System > Backup / Flash Firmware; na OPNsense je Sistem > Konfiguracija > Varnostne kopije, ki hrani tudi prejšnje revizije, na katere se lahko vrnete brez datoteke. Ničesar še ne obnavljate. Preverjate, ali se ta stran odpre s poti, ki jo boste imeli med spremembo, ali želi naknadni ponovni zagon in ali zavrne arhiv, napisan z drugo izdajo vdelane programske opreme. Netgate dokumentira lasten tok izvoza in obnovitve na docs.netgate.com.

Obnovitev zamenja celotno konfiguracijo, tako da ni razveljavitev enega pravila. Arhiv vsebuje uporabnike, potrdila, ključe VPN, pravila požarnega zidu in nastavitve skrbniškega vmesnika, ki odločajo o tem, kdo se lahko prijavi. Zato izvozim tik pred spremembo in poimenujem datoteko z datumom in eno samo nastavitvijo, ki se je nameravam dotakniti. Obnovitev mesec dni stare datoteke obnovi tudi mesec dni star tunel in mesec dni star ključ.

Če platforma nalaga samo arhive iz iste izdaje, upoštevajte to zdaj: nadgradnja vdelane programske opreme in urejanje VPN v enem oknu pustita, da imate datoteko, ki je usmerjevalnik ne sprejme.

Dokaži pot, ki preskoči tunel

Druga seja SSH z istega prenosnika na isti javni naslov ni druga pot; oba skupaj umreta. Neodvisna pot je ena od teh: serijska konzola ali konzola KVM, hipervizor ali konzola v oblaku, upravljalni VLAN, dosegljiv iz gostitelja, ki ni za tunelom, drugi modem WAN ali LTE z lastnim skrbniškim pravilom ali oseba na mestu.

Preizkusite izbrano pot, medtem ko je usmerjevalnik zdrav. Prijavite se prek njega, odprite stran VPN in se ustavite pred shranjevanjem. Če pravilo za zaklepanje omogoča le doseganje nadzorne plošče, imate še vedno čas, da to popravite, popravek pa mora biti nad pravilom zavrnitve v vrstnem redu pravil.

Večina usmerjevalnikov veže skrbniško storitev na vmesnik ali družino naslovov, zato mora zunajpasovna pot prispeti tja, kjer ta storitev posluša. Razširitev vezave za okno deluje, vendar je sama po sebi sprememba poti, od katere ste odvisni.

Izvozite datoteko in napišite sprožilec

Premaknite izvoz z usmerjevalnika in z računalnika, ki bi lahko izgubil tunel. Varnostna kopija, shranjena v datotečnem sistemu usmerjevalnika, izgine točno zaradi napake, ki jo načrtujete, in če sedite na prenosnem računalniku, ki bo kmalu izgubil povezljivost, je komaj kaj boljše.

To datoteko obravnavajte kot poverilnico. Vsebuje zasebne ključe, skrivnosti v vnaprejšnji skupni rabi, gradivo potrdil in zgoščene vrednosti gesel, zato jih šifrirajte ali shranite enako skrbno kot prijavo usmerjevalnika.

Nato napišite en stavek: če ne morem odpreti nove seje upravljanja iz PATH v N minutah po spremembi, obnovim DATOTEKO in znova zaženem sistem. Stavek zmanjša obseg na eno spremenljivko. Skupna urejanja poti, DNS in požarnega zidu se hitro shranijo in počasi razpolovijo, ko imate še en poskus.

Uporabite časovnik za potrditev, kjer ga ima platforma

Več platform bo namesto vas razveljavilo spremembo, če je ne potrdite. Varni način RouterOS, ki ga vnesete s Ctrl+X v terminalu, razveljavi spremembe, narejene v tej seji, ko seja prekine. Junos vrne potrjeno nepotrjeno objavo. Pari Cisco IOS se znova naložijo s preklicem ponovnega nalaganja. Požarni zidovi podjetja običajno uprizarjajo čakajoče spremembe s časovnikom za samodejno povrnitev. OpenWrt in večina potrošniške vdelane programske opreme nimata nič enakovrednega, zato mora biti časovnik zunanji: načrtovana obnovitev, opravilo cron, ki zamenja datoteko nazaj in znova zažene storitev, ali ponovni zagon v prejšnjo konfiguracijo.

Ne domnevajte, da funkcija s podobnim imenom pokriva isti obseg. Samodejna povrnitev enega izdelka lahko zajema samo pravila požarnega zidu; drugi lahko pokriva celotno konfiguracijo, vključno s pravilom upravljanja, ki ste ga pravkar spremenili, da ostanete dosegljivi. Preberite, kaj časovnik vrne, preden se zanesete nanj.

Časovnik ni nadomestilo za izvoženo datoteko. Ne uspe v primeru, ki je tu najpomembnejši: seja preživi, ravnina upravljanja ne in nič nikoli ne sproži vrnitve.

Preizkusite povsem novo povezavo, ne odprte

Vzpostavljena seja pogosto deluje skozi spremembe, ki blokirajo vsako novo rokovanje, ker njegovo stanje že obstaja in pravilnik se oceni, ko je povezava ustvarjena. Po spremembi ustvarite nove povezave z oddaljene strani: nova seja SSH, novo rokovanje VPN od odjemalca, običajno nalaganje strani na naslov LAN usmerjevalnika.

# run these from the remote machine, in a new shell
ssh -o ConnectTimeout=8 admin@"$ROUTER_WAN"
nc -vz "$ROUTER_WAN" 443
dig +short example.internal "@$ROUTER_LAN"

Nato preizkusite nižje od tunela in ne samega predora: ločljivost imen, povezavo TCP z notranjo storitvijo in aplikacijo, ki jo dejansko uporabljate. Tunel, ki vzpostavi, vendar ne oddaja uporabnega DNS-ja, je videti zdrav v statusu odjemalca in pokvarjen v brskalniku, in ta razlika odloča o tem, ali obnovite datoteko ali popravite eno pravilo.

Ponovite po prisilni prekinitvi in ponovni povezavi ter še enkrat po vnovičnem zagonu, če platforma znova uporabi stanje ob zagonu. Nekatere konfiguracije prestanejo vsak preizkus v živo in ne uspejo ob prvem zagonu z novimi pravili.

Zaprite vrata, ki ste jih odprli za okno

Odstranite začasno skrbniško pravilo katerega koli vira, zavržni račun, razširjeno vezavo, permisivno pravilo DNS in beleženje odpravljanja napak. Ta odstranitev je sama po sebi sprememba na poti, od katere ste odvisni, zato znova zaženite preskus nove povezave po njej z oddaljene strani.

Hranite izvoženo datoteko, dokler sprememba ne preživi ponovnega zagona in ponovne povezave pravega odjemalca, nato zavrtite vse, kar ste dali v skupno rabo, ko je bilo okno odprto. Konfiguracija, ki deluje do naslednjega zagona, je miren način za izgubo usmerjevalnika čez teden dni, ko se nihče ne spomni, katero pravilo je bilo začasno.

Zapišite spremembo, kam pogleda naslednja oseba: kaj se je premaknilo, katera datoteka jo razveljavi, katera pot doseže konzolo in katero pravilo je bilo začasno.

Preden odprete stran VPN, morajo obstajati štiri stvari: potek obnovitve, ki ste ga preizkusili, druga pot, ki ste jo dokazali, izvožena datoteka, ki jo lahko dejansko dosežete, in pisni sprožilec. Če katera manjka, jo najprej popravite. Sprememba lahko počaka eno uro; blokada ne more.