Përgatitni një rrugë rikuperimi seriale përpara se të ndryshoni VPN-në në GCE

Një dritare e dytë SSH në të njëjtin ndërfaqe nuk është rrugë rikuperimi. Ajo ndan rrugën, rregullin e murit të zjarrit dhe demonin që jeni gati të ndryshoni, prandaj dështon pikërisht në momentin kur ju nevojitet. Përpara se të redaktoni rrugët VPN në një VM Compute Engine, provoni tre gjëra të ndara: që mund të përdorni konsolën seriale, që mund të lexoni daljen e saj, dhe që mysafiri do t’ju japë vërtet një hyrje. Kontrollet më poshtë ecin në atë rend, më e lira e para, kështu që një leje që mungon zbulohet përpara se të ketë rëndësi.

Hapi 1: konfirmoni lejen nga ana e cloud-it

Përmendni VM-në, projektin dhe zonën e saktë, më pas kontrolloni politikën e aksesit serial të miratuar nga organizata. Administratori ka nevojë për lejen përkatëse, dhe aksesi serial interaktiv duhet të jetë i aktivizuar për atë instancë nën kontrollet e projektit dhe të organizatës në fuqi.

Mos dobësoni një politikë të organizatës dhe mos aktivizoni aksesin në konsolë për një projekt të tërë vetëm për të përgatitur një makinë. Kërkojini pronarit të organizojë mekanizmin e lejuar përpara eksperimentit, jo gjatë ndërprerjes.

Hapi 2: provoni që mund të lexoni daljen

Leximi i daljes seriale është kontrolli më i lirë, dhe ushtron transportin pa prekur hyrjen e mysafirit:

gcloud compute instances get-serial-port-output VM_NAME \
    --project PROJECT_ID --zone ZONE --port 1

Zëvendësoni identifikuesit dhe përdorni portin e lejuar. Mesazhet e nisjes dhe biseda e konsolës tregojnë se kanali funksionon. Ato nuk provojnë që mund të merrni një shell. Prandaj ky hap është i ndarë nga hapi tjetër.

Hapi 3: provoni që mund të merrni një hyrje interaktive

Komanda e lidhjes hap një sesion të vërtetë, jo një parapamje:

gcloud compute connect-to-serial-port VM_NAME \
    --project PROJECT_ID --zone ZONE --port 1

Trajtojeni si një konsolë të drejtpërdrejtë. Konfirmoni pikën fundore përpara se të shkruani kredencialet, sepse çdo shtypje tastiere zbret mbi instancën.

Këtu shkatërrohet një plan që dukej i plotë. Leja e cloud-it është një kufi dhe kërkesa për hyrje e Linux-it është një tjetër, dhe kalimi i të parës nuk thotë asgjë për të dytën.

Hapi 4: përgatitni kredenciale që mysafiri do t’i pranojë

Imazhet Linux që ofron Google nuk aktivizojnë si parazgjedhje hyrjen lokale me fjalëkalim. Prandaj një sesion serial mund të arrijë në një kërkesë hyrjeje dhe të ndalet atje, duke pritur një kredencial që askush nuk e ka vendosur.

Një llogari rikuperimi e miratuar, ose çdo metodë e dokumentuar e hyrjes së mysafirit që përdor vendosja juaj, duhet të ekzistojë dhe të testohet. Një çelës SSH që funksionon përmes rrjetit nuk plotëson automatikisht një kërkesë fjalëkalimi të konsolës, prandaj kontrolloni rregullimin real të OS Login dhe çelësave në vend që të supozoni se mbulon këtë rast.

Mbani private kredencialet e rikuperimit. Një fjalëkalim root i ngjitur në një shembull publik startup-script është një incident i dytë që pret të ndodhë.

Hapi 5: regjistroni pronarin dhe rikthimin

Përpara se të ndryshoni çdo gjë, ruani konfigurimin e rrjetit që funksionon dhe shkruani kush e menaxhon atë, cila shërbim VPN është i përfshirë dhe si kryhet një rikthim. Nga një sesion që funksionon, kapni rrugët, rregullat dhe gjendjen e shërbimit aktual.

Është pikërisht ai regjistrim që e kthen një kanal rikuperimi në riparim, sepse konsola ju jep vetëm një kërkesë. Shkruajeni përpara ndryshimit, jo më vonë nga kujtesa. Një rikthim i kopjuar nga një wiki nuk është rikthim. Është një hamendësim me numër versioni.

Hapi 6: verifikoni pas ndryshimit

Një sesion SSH ekzistues mund t’i mbijetojë një politike që bllokon të reja, prandaj testoni me një sesion normal administrimi të freskët. Më pas testoni veçmas sjelljen e VPN-së që ndryshuat.

Mbani hapur kanalin e rikuperimit derisa të kalojnë të dyja kontrollet, dhe më pas mbylleni sipas politikës së aksesit. Nëse SSH është humbur tashmë dhe nuk është përgatitur asnjë hyrje nga konsola, ndaloni trajtimin e aksesit serial si rrjet sigurie dhe filloni procesin e autorizuar të rikuperimit të llogarisë ose riparimit të instancës. Ngritja e një VM tjetër si jump host nuk riparon as rrugën e mysafirit as kredencialet që mungojnë.