Како планирати враћање ВПН рутера пре даљинске промене

Спремате се да уредите тунел који носи вашу сопствену сесију, тако да се посао који вас штеди дешава пре промене, а не за време стркања после ње. Сигурносна мрежа није на ВПН страници: то је екран за враћање, конзола или други пут који не пролази кроз уређај који уређујете. Планирам сва три на истом интерфејсу рутера који ћу да уредим, и користим путању једном док све још ради. Ово је водич који пратим, по реду.

Прођите кроз ток враћања пре него што вам затреба

Отворите страницу која би поништила вашу промену. На пфСенсе-у то је Дијагностика > Резервна копија и враћање у претходно стање; на ОпенВрт-у је Систем > Бацкуп / Фласх фирмвер; на ОПНсенсе-у је Систем > Конфигурација > Резервне копије, који такође чува претходне ревизије на које можете да се вратите без датотеке. Још ништа не обнављате. Проверавате да ли се та страница отвара са путање коју ћете имати током промене, да ли жели поновно покретање након тога и да ли одбија архиву коју је написала друга верзија фирмвера. Нетгате документује сопствени ток извоза и враћања на docs.netgate.com.

Враћање мења целу конфигурацију, тако да није поништење за једно правило. Архива садржи кориснике, сертификате, ВПН кључеве, правила заштитног зида и подешавања администраторског интерфејса која одлучују ко може да се пријави. Зато извозим непосредно пре промене и именујем датотеку са датумом и јединим подешавањем које намеравам да додирнем. Враћање датотеке старе месец дана такође враћа месец стар тунел и месец стар кључ.

Ако платформа учитава само архиве из истог издања, имајте на уму то сада: надоградња фирмвера плус уређивање ВПН-а у једном прозору оставља вам да држите датотеку коју рутер неће прихватити.

Докажите начин да прескачете тунел

Друга ССХ сесија са истог лаптопа на исту јавну адресу није други пут; обоје умиру заједно. Независна путања је једна од ових: серијска или КВМ конзола, хипервизор или клауд конзола, ВЛАН за управљање доступан са хоста који није иза тунела, други ВАН или ЛТЕ модем са сопственим административним правилом или особа на локацији.

Тестирајте изабрану путању док је рутер здрав. Пријавите се преко њега, отворите ВПН страницу и зауставите се пре него што сачувате. Ако правило закључавања допушта само да дође до контролне табле, још увек имате времена да то поправите, а исправка мора да стоји изнад правила забране у редоследу правила.

Већина рутера везује административну услугу за интерфејс или фамилију адреса, тако да ванпојасна рута мора да стигне тамо где та услуга слуша. Проширивање везивања за прозор ради, али је само по себи промена путање од које зависите.

Извезите датотеку и напишите окидач

Померите извоз са рутера и са машине која би могла да изгуби свој тунел. Резервна копија ускладиштена у систему датотека рутера нестаје управо у случају неуспеха који планирате, а једно седење на лаптопу који ће ускоро изгубити конекцију једва да је боље.

Третирајте ту датотеку као акредитив. Садржи приватне кључеве, унапред дељене тајне, материјал сертификата и хешове лозинки, па га шифрујте или чувајте са истом пажњом као и пријаву на рутер.

Затим напишите једну реченицу: ако не могу да отворим нову сесију управљања са ПАТХ у року од Н минута од промене, враћам ФИЛЕ и поново покрећем. Реченица своди опсег на једну променљиву. Измене руте, ДНС-а и заштитног зида које су унете заједно брзо се чувају и споро се раздвајају када добијете још један покушај.

Користите тајмер за урезивање тамо где га платформа има

Неколико платформи ће поништити промену уместо вас ако је не потврдите. Безбедни режим РоутерОС-а, унет са Цтрл+Кс у терминалу, враћа промене направљене у тој сесији када сесија падне. Јунос враћа непотврђено урезивање потврђено. Цисцо ИОС парови се поново учитавају уз отказивање поновног учитавања. Заштитни зидови предузећа обично постављају промене на чекању помоћу тајмера за аутоматско враћање. ОпенВрт и већина потрошачких фирмвера немају ништа еквивалентно, тако да тајмер мора да буде спољни: планирано враћање, црон посао који замењује датотеку назад и поново покреће услугу, или поновно покретање у претходну конфигурацију.

Немојте претпостављати да функција са сличним именом покрива исти опсег. Аутоматско враћање једног производа може да покрива само правила заштитног зида; други може да покрива целу конфигурацију, укључујући правило управљања које сте управо променили да бисте били доступни. Прочитајте шта се тајмер враћа пре него што се ослоните на њега.

Тајмер није замена за извезену датотеку. Не успева у случају који је овде најважнији: сесија опстаје, ниво управљања не и ништа никада не покреће враћање.

Тестирајте потпуно нову везу, а не отворену

Успостављена сесија често наставља да функционише кроз промене које блокирају свако ново руковање, јер његово стање већ постоји и политика се процењује када се веза креира. Након промене, креирајте нове везе са удаљене стране: нову ССХ сесију, свеже ВПН руковање од клијента, нормално учитавање странице на ЛАН адресу рутера.

# run these from the remote machine, in a new shell
ssh -o ConnectTimeout=8 admin@"$ROUTER_WAN"
nc -vz "$ROUTER_WAN" 443
dig +short example.internal "@$ROUTER_LAN"

Затим тестирајте низводно од тунела, а не самог тунела: резолуцију имена, ТЦП везу са интерном услугом и апликацију коју заправо користите. Тунел који успоставља, али не даје употребљив ДНС, изгледа здраво у статусу клијента и покварен у претраживачу, а та разлика одлучује да ли ћете вратити датотеку или поправити једно правило.

Поновите након принудног прекида везе и поновног повезивања, и још једном након поновног покретања ако платформа поново примени стање при покретању. Неке конфигурације пролазе сваки тест уживо и не успевају при првом покретању са новим правилима.

Затворите врата која сте отворили за прозор

Уклоните привремено правило администратора било ког извора, налог за одбацивање, проширено везивање, дозвољено ДНС правило и евиденцију отклањања грешака. То уклањање је само по себи промена путање од које зависите, па поново покрените тест нове везе након њега, са удаљене стране.

Задржите извезену датотеку док промена не преживи поновно покретање и поновно повезивање са правим клијентом, а затим ротирајте све што сте поделили док је прозор био отворен. Конфигурација која ради до следећег покретања је тих начин да изгубите рутер недељу дана касније, када се нико не сећа које је правило било привремено.

Запишите промену где следећа особа гледа: шта се померило, која датотека то поништава, која путања стиже до конзоле и које правило је било привремено.

Пре него што отворите ВПН страницу, морају постојати четири ствари: ток враћања који сте тестирали, други пут који сте доказали, извезена датотека до које заиста можете да дођете и писани окидач. Ако неко недостаје, прво то поправите. Промена може да сачека сат времена; блокада не може.