Të bllokuar jashtë serverit tuaj VPN: mbani një rrugë të dytë hyrjeje
Një tunel i prishur nuk duhet t'ju heqë edhe aftësinë për të rregulluar serverin. Planifikoni, provoni dhe rishikoni një rrugë administrative të pavarur përpara se t'ju duhet.
Hapni konsolën, ndryshoni një rregull të murit të zjarrit, dhe tuneli përmes të cilit ishit të lidhur zhduket. Ndryshimi ishte i saktë, ringarkimi nuk ishte, dhe tani e vetmja rrugë përsëri në makinë është ajo që sapo thetë. Një rrugë e dytë hyrjeje është një vendim projektimi, dhe duhet të ekzistojë përpara ndërprerjes, jo gjatë saj.
Kaloni nëpër atë që ju ka mbetur
Filloni nga ekrani i konsolës përpara jush dhe renditni rrugët që nuk varen nga tuneli. Një konsolë web e ofruesit me sesion serial ose VNC është njëra. Një ndërfaqe administrimi në një rrjet të veçantë është tjetra. Qasja fizike është e treta, dhe është ajo që njerëzit zbulojnë se mungon në momentin më të keq.
| Path | Depends on | Usually fails when |
|---|---|---|
| Provider console | Account access and the provider's own API | Credentials live in a wiki only reachable over the tunnel |
| Management subnet | A second interface and its own routing | The bad change was a global route or firewall policy |
| Second tunnel | A different listener, port and credentials | Both listeners were changed in the same edit |
| Physical or local console | Being in the building | Nobody has been in the building for a year |
Lexoni kolonën e tretë si një listë dështimesh dhe jo si një abstraksion. Dy nga ato rrugë zakonisht dështojnë për të njëjtën arsye. Tabela është mënyra si e vini re këtë përpara se një ndërprerje t'jua shpjegojë.
Pavarësia është çështje varësish
Një llogari rikuperimi nuk është e pavarur nëse fjalëkalimi i saj ruhet në një shërbim që e arrini përmes tunelit. Një VPN e dytë në të njëjtin host, të njëjtin port dhe të njëjtën politikë muri zjarri nuk është as ajo e pavarur, sepse ndryshimi që theu të parën thyen të dyja.
Zbrisni përgjatë zinxhirit dhe emërtoni çfarë kërkon çdo hap. Arritshmëria e rrjetit, zgjidhja e emrave, një burim vërtetimi dhe vetë shërbimi i administrimit janë katër varësi të ndara, dhe një rrugë që ndan cilëndo prej tyre trashëgon atë dështim.
Rruga që nuk është provuar kurrë meriton dyshimin e saj. Një konsolë që nuk është hapur për muaj mund të kërkojë rivendosje fjalëkalimi me email, dhe ajo kuti postare mund të jetë e strehuar në makinën që nuk arrini. Provoni rrugën ndërsa gjithçka funksionon dhe do ta gjeni këtë në një pasdite të qetë.
Përdorni rrugën e dytë për një ndryshim të kontrolluar
Nga konsola, merrni një pamje ose kopjoni konfigurimin që do të editoni. Ndryshoni një gjë. Ringarkoni shërbimin dhe lexoni rezultatin përpara se të prekni diçka tjetër, sepse dy ndryshime njëherësh e kthejnë një rikuperim në eksperiment.
Mbani sesionin e rikuperimit të hapur ndërsa e bëni këtë. E gjithë vlera e rrugës së dytë është se ajo i mbijeton asaj që po ndryshoni, pra duke e mbyllur së pari hiqni vetinë e vetme që e bënte të dobishme.
Verifikoni nga rruga e rikuperimit, jo nga kujtesa
Kontrolli që ka rëndësi është nëse rruga normale kthehet, dhe sesioni i rikuperimit është vendi ku e konfirmoni atë sipas radhës:
systemctl status openvpn-server@server --no-pager ss -lntup | grep -E ':(1194|443)\b' nft list ruleset | sed -n '1,40p' journalctl -u openvpn-server@server --since '-10 min' --no-pager | tail -n 30
Lexoni së pari gjendjen e shërbimit, pastaj dëgjuesin, pastaj rregullat, pastaj ditarin. Një shërbim që punon pa dëgjues tregon konfigurimin e shërbimit, ndërsa një dëgjues pa rregulla të arritshme tregon filtrimin. Rendi ka rëndësi sepse çdo hap e ngushton tjetrin, dhe kalimi te ditari zakonisht do të thotë lexim gabimesh që përshkruajnë simptomën dhe jo shkakun.
Dokumentacioni i systemctl mbulon sjelljen e gjendjes dhe të rinisjes që përdoret këtu, duke përfshirë mënyrën se si një ringarkim i dështuar e lë procesin e mëparshëm duke punuar. Rikthimi i një versioni koherent është më mirë sesa rilidhja vazhdimisht nga një klient që nuk mund ta rregullojë serverin. Nëse kushti i kthimit të përcaktuar përpara ndryshimit është plotësuar, rikthejeni dhe ndaloni.
Mbani inventarin të përditësuar
Rishikoni listën e qasjes kur njerëzit ose infrastruktura ndryshojnë. Provoni rrugën e rikuperimit ndërsa gjithçka funksionon. Tërhiqni llogaritë që askush nuk i ka përdorur që nga riorganizimi i fundit. Dy llogari të vjetruara dhe një certifikatë e skaduar janë një pastrim i vogël të martën dhe një ndërprerje të dielën.
Regjistroni kush mund të përdorë secilën rrugë, çfarë lejon ajo dhe si rrotullohen kredencialet. Një rrugë rikuperimi pa pronar bëhet një hyrje e harruar, që është një lloj tjetër dështimi sesa të mbetesh i bllokuar jashtë.