Si të planifikoni një rikthim të ruterit VPN përpara një ndryshimi në distancë

Jeni gati të redaktoni tunelin që kryen sesionin tuaj, kështu që puna që ju shpëton të ndodhë përpara ndryshimit, jo gjatë përleshjes pas tij. Rrjeti i sigurisë nuk është në faqen VPN: është ekrani i rivendosjes, një tastierë ose një shteg i dytë që nuk kalon nëpër pajisjen që po redaktoni. I planifikoj të treja në të njëjtën ndërfaqe ruteri që do të modifikoj dhe e përdor shtegun një herë ndërsa gjithçka funksionon ende. Kjo është udhëzimi që unë ndjek, me radhë.

Ecni në rrjedhën e rivendosjes përpara se t'ju nevojitet

Hapni faqen që do të zhbënte ndryshimin tuaj. Në pfSense që është Diagnostics > Backup & Restore; në OpenWrt është System > Backup / Flash Firmware; në OPNsense është System > Configuration > Backups, i cili ruan gjithashtu rishikimet e mëparshme ku mund t'u riktheheni pa skedar. Nuk po rikuperoni ende asgjë. Po kontrolloni nëse ajo faqe hapet nga rruga që do të keni gjatë ndryshimit, nëse do një rindezje më pas dhe nëse refuzon një arkiv të shkruar nga një version tjetër i firmuerit. Netgate dokumenton eksportin e vet dhe rikthen rrjedhën në docs.netgate.com.

Një rivendosje shkëmben të gjithë konfigurimin, kështu që nuk është një zhbërje për një rregull. Arkivi mbart përdoruesit, certifikatat, çelësat VPN, rregullat e murit të zjarrit dhe cilësimet e ndërfaqes së administratorit që vendosin se kush mund të identifikohet. Kjo është arsyeja pse unë eksportoj menjëherë përpara ndryshimit dhe emërtoj skedarin me datën dhe cilësimin e vetëm që synoj të prek. Rivendosja e një skedari një muajsh rikthen gjithashtu një tunel një muajsh dhe një çelës një muajsh.

Nëse platforma ngarkon vetëm arkivat nga i njëjti version, vini re tani: një përmirësim i firmuerit plus një modifikim VPN në një dritare ju lë të mbani një skedar që ruteri nuk do ta pranojë.

Provoni një mënyrë në atë që kalon tunelin

Një seancë e dytë SSH nga i njëjti laptop në të njëjtën adresë publike nuk është një rrugë e dytë; te dy vdesin bashke. Rruga e pavarur është një nga këto: një tastierë seriale ose KVM, një tastierë hipervizori ose cloud, një VLAN menaxhimi i arritshëm nga një host që nuk është prapa tunelit, një modem i dytë WAN ose LTE me rregullin e tij administrativ, ose një person në vend.

Testoni rrugën e zgjedhur ndërsa ruteri është i shëndetshëm. Hyni mbi të, hapni faqen VPN dhe ndaloni përpara se të ruani. Nëse një rregull bllokimi e lejon atë të arrijë vetëm në panelin e kontrollit, ju keni ende kohë për ta rregulluar atë dhe korrigjimi duhet të qëndrojë mbi rregullin e mohimit në rendin e rregullit.

Shumica e ruterave e lidhin shërbimin e administratorit me një ndërfaqe ose një familje adresash, kështu që një rrugë jashtë brezit duhet të arrijë aty ku ai shërbim dëgjon. Zgjerimi i lidhjes për dritaren funksionon, por në vetvete është një ndryshim në rrugën nga e cila varet.

Eksportoni skedarin dhe shkruani këmbëzën

Zhvendosni eksportin nga ruteri dhe jashtë makinës që mund të humbasë tunelin e saj. Një kopje rezervë e ruajtur në sistemin e skedarëve të ruterit zhduket pikërisht në dështimin që po planifikoni, dhe një i ulur në laptop që do të humbasë lidhjen është mezi më i mirë.

Trajtojeni atë skedar si një kredencial. Ai mban çelësat privatë, sekretet e para-ndara, materialet e certifikatave dhe hash fjalëkalimet, kështu që enkriptojeni ose ruajeni me të njëjtin kujdes si identifikimi i ruterit.

Më pas shkruani një fjali: nëse nuk mund të hap një seancë të re menaxhimi nga PATH brenda N minutave nga ndryshimi, unë rivendos FILE dhe rindiz. Fjalia e detyron shtrirjen në një ndryshore. Ndryshimet e itinerarit, DNS dhe murit të zjarrit të kryera së bashku ruhen të shpejta dhe të ngadalta për t'u ndarë në dysh kur merrni një përpjekje më shumë.

Përdorni një kohëmatës angazhimi ku platforma ka një të tillë

Disa platforma do ta zhbëjnë ndryshimin për ju nëse nuk arrini ta konfirmoni atë. Modaliteti i sigurt i RouterOS, i futur me Ctrl+X në një terminal, kthen ndryshimet e bëra në atë seancë kur sesioni bie. Junos kthen mbrapsht një kryerje të pakonfirmuar të konfirmuar. Çiftet e Cisco IOS ringarkohen me anulimin e ringarkimit. Muret e zjarrit të ndërmarrjeve zakonisht vendosin ndryshime në pritje me një kohëmatës të kthimit automatik. OpenWrt dhe shumica e firmware-ve të konsumatorit nuk kanë asgjë të barazvlefshme, kështu që kohëmatësi duhet të jetë i jashtëm: një rivendosje e planifikuar, një punë cron që ndërron një skedar prapa dhe rinis shërbimin, ose një rindezje në konfigurimin e mëparshëm.

Mos supozoni se një veçori me emër të ngjashëm mbulon të njëjtin fushë. Rikthimi automatik i një produkti mund të mbulojë vetëm rregullat e murit të zjarrit; një tjetër mund të mbulojë të gjithë konfigurimin, duke përfshirë rregullin e menaxhimit që sapo keni ndryshuar për të mbajtur veten të arritshëm. Lexoni se çfarë kthen kohëmatësi përpara se të mbështeteni në të.

Një kohëmatës nuk është zëvendësues për një skedar të eksportuar. Ai dështon në rastin që ka më shumë rëndësi këtu: seanca mbijeton, rrafshi i menaxhimit jo dhe asgjë nuk e shkakton kthimin.

Testoni një lidhje krejt të re, jo atë të hapur

Një seancë e krijuar shpesh vazhdon të funksionojë përmes ndryshimeve që bllokojnë çdo shtrëngim duarsh të re, sepse gjendja e tij tashmë ekziston dhe politika vlerësohet kur krijohet një lidhje. Pas ndryshimit, krijoni lidhje të reja nga ana e largët: një seancë e re SSH, një shtrëngim duarsh i ri VPN nga një klient, një ngarkesë normale faqesh në adresën LAN të ruterit.

# run these from the remote machine, in a new shell
ssh -o ConnectTimeout=8 admin@"$ROUTER_WAN"
nc -vz "$ROUTER_WAN" 443
dig +short example.internal "@$ROUTER_LAN"

Pastaj testoni në rrjedhën e poshtme të tunelit dhe jo vetë tunelit: rezolucioni i emrit, një lidhje TCP me një shërbim të brendshëm dhe aplikacioni që përdorni në të vërtetë. Një tunel që krijon, por nuk jep asnjë DNS të përdorshëm, duket i shëndetshëm në statusin e klientit dhe i prishur në shfletues, dhe ky ndryshim vendos nëse e rivendosni skedarin ose rregulloni një rregull.

Përsëriteni pas një shkëputjeje të detyruar dhe rilidheni, dhe një herë pas një rindezjeje nëse platforma riaplikon gjendjen në nisje. Disa konfigurime kalojnë çdo test të drejtpërdrejtë dhe dështojnë në nisjen e parë me rregullat e reja në fuqi.

Mbyllni dyert që hapët për dritaren

Hiqni rregullin e përkohshëm të administratorit me çdo burim, llogarinë e hedhur, lidhjen e zgjeruar, rregullin lejues të DNS dhe regjistrimin e korrigjimit. Kjo heqje është në vetvete një ndryshim në shtegun nga i cili vareni, kështu që përsëritni testin e lidhjes së re pas tij, nga ana e largët.

Mbajeni skedarin e eksportuar derisa ndryshimi të ketë mbijetuar një rindezje dhe një rilidhje të vërtetë të klientit, më pas rrotulloni gjithçka që keni ndarë ndërsa dritarja ishte e hapur. Një konfigurim që funksionon deri në nisjen tjetër është një mënyrë e qetë për të humbur një ruter një javë më vonë, kur askush nuk e kujton se cili rregull ishte i përkohshëm.

Shkruani ndryshimin ku shikon personi tjetër: çfarë u zhvendos, cili skedar e zhbë atë, cila shteg arrin në tastierë dhe cili rregull ishte i përkohshëm.

Përpara se të hapni faqen VPN, duhet të ekzistojnë katër gjëra: një rrjedhë rivendosjeje që keni testuar, një rrugë e dytë që keni provuar, një skedar të eksportuar që mund të arrini në të vërtetë dhe një shkas me shkrim. Nëse mungon ndonjë, rregullojeni së pari. Ndryshimi mund të presë një orë; një bllokim nuk mund.