วิธีวางแผนการย้อนกลับ VPN ของเราเตอร์ก่อนการเปลี่ยนแปลงระยะไกล

คุณกำลังจะแก้ไขทันเนลที่มีเซสชันของคุณเอง ดังนั้นงานที่ช่วยคุณจะเกิดขึ้นก่อนการเปลี่ยนแปลง ไม่ใช่ระหว่างช่วงแย่งชิงหลังจากนั้น ตาข่ายนิรภัยไม่ได้อยู่ในหน้า VPN แต่เป็นหน้าจอการคืนค่า คอนโซล หรือเส้นทางที่สองที่ไม่ได้ทำงานผ่านอุปกรณ์ที่คุณกำลังแก้ไข ฉันวางแผนทั้งสามอินเทอร์เฟซเราเตอร์เดียวกันกับที่ฉันกำลังจะแก้ไข และฉันใช้เส้นทางหนึ่งครั้งในขณะที่ทุกอย่างยังใช้งานได้ นี่คือคำแนะนำที่ฉันปฏิบัติตามตามลำดับ

ทำตามขั้นตอนการคืนค่าก่อนที่คุณจะต้องการ

เปิดหน้าที่จะยกเลิกการเปลี่ยนแปลงของคุณ บน pfSense นั่นคือ Diagnostics > Backup & Restore; บน OpenWrt คือ System > Backup / Flash Firmware; บน OPNsense คือ ระบบ > การกำหนดค่า > การสำรองข้อมูล ซึ่งจะเก็บการแก้ไขก่อนหน้าที่คุณสามารถเปลี่ยนกลับเป็นไฟล์ได้โดยไม่ต้องใช้ไฟล์ คุณยังไม่ได้กู้คืนอะไรเลย คุณกำลังตรวจสอบว่าเพจนั้นเปิดจากเส้นทางที่คุณจะมีในระหว่างการเปลี่ยนแปลงหรือไม่ ต้องการให้รีบูตในภายหลังหรือไม่ และปฏิเสธไฟล์เก็บถาวรที่เขียนโดยเฟิร์มแวร์รุ่นอื่นหรือไม่ Netgate บันทึกขั้นตอนการส่งออกและกู้คืนของตนเองที่ docs.netgate.com.

การคืนค่าจะสลับการกำหนดค่าทั้งหมด ดังนั้นจึงไม่สามารถยกเลิกกฎข้อเดียวได้ ไฟล์เก็บถาวรประกอบด้วยผู้ใช้ ใบรับรอง คีย์ VPN กฎไฟร์วอลล์และการตั้งค่าอินเทอร์เฟซของผู้ดูแลระบบที่ตัดสินใจว่าใครบ้างที่สามารถเข้าสู่ระบบได้ นั่นคือเหตุผลที่ฉันส่งออกทันทีก่อนการเปลี่ยนแปลงและตั้งชื่อไฟล์ด้วยวันที่และการตั้งค่าเดียวที่ฉันตั้งใจจะแตะ การกู้คืนไฟล์อายุหนึ่งเดือนจะกู้คืนอุโมงค์อายุหนึ่งเดือนและคีย์เก่าหนึ่งเดือนด้วย

หากแพลตฟอร์มโหลดเฉพาะไฟล์เก็บถาวรจากรุ่นเดียวกัน โปรดทราบทันที: การอัพเกรดเฟิร์มแวร์พร้อมการแก้ไข VPN ในหน้าต่างเดียวจะทำให้คุณถือไฟล์ที่เราเตอร์จะไม่ยอมรับ

พิสูจน์วิธีในการข้ามอุโมงค์

เซสชัน SSH ครั้งที่สองจากแล็ปท็อปเครื่องเดียวกันไปยังที่อยู่สาธารณะเดียวกันไม่ใช่เส้นทางที่สอง ทั้งสองตายด้วยกัน เส้นทางอิสระคือหนึ่งในนั้น: คอนโซลอนุกรมหรือ KVM, ไฮเปอร์ไวเซอร์หรือคอนโซลคลาวด์, VLAN การจัดการที่สามารถเข้าถึงได้จากโฮสต์ที่ไม่ได้อยู่ด้านหลังทันเนล, โมเด็ม WAN หรือ LTE ตัวที่สองที่มีกฎการดูแลระบบของตัวเอง หรือบุคคลในไซต์

ทดสอบเส้นทางที่เลือกในขณะที่เราเตอร์ยังแข็งแรงอยู่ เข้าสู่ระบบ เปิดหน้า VPN และหยุดก่อนที่จะบันทึก หากกฎการล็อกอนุญาตให้เข้าถึงแดชบอร์ดได้เท่านั้น คุณยังมีเวลาในการแก้ไข และการแก้ไขจะต้องอยู่เหนือกฎการปฏิเสธในลำดับกฎ

เราเตอร์ส่วนใหญ่จะผูกบริการผู้ดูแลระบบเข้ากับอินเทอร์เฟซหรือตระกูลที่อยู่ ดังนั้นเส้นทางนอกย่านความถี่จะต้องมาถึงจุดที่บริการนั้นรับฟัง การขยายการเชื่อมโยงหน้าต่างให้กว้างขึ้นนั้นใช้งานได้ แต่เป็นการเปลี่ยนแปลงเส้นทางที่คุณต้องพึ่งพา

ส่งออกไฟล์และเขียนทริกเกอร์

ย้ายการส่งออกออกจากเราเตอร์และออกจากเครื่องที่อาจสูญเสียอุโมงค์ การสำรองข้อมูลที่จัดเก็บไว้ในระบบไฟล์ของเราเตอร์จะหายไปในความล้มเหลวที่คุณวางแผนไว้ และการสำรองข้อมูลหนึ่งบนแล็ปท็อปที่กำลังจะสูญเสียการเชื่อมต่อนั้นแทบจะไม่ดีขึ้นเลย

ถือว่าไฟล์นั้นเป็นข้อมูลรับรอง. โดยจะเก็บคีย์ส่วนตัว ความลับที่แชร์ล่วงหน้า วัสดุใบรับรอง และแฮชรหัสผ่าน ดังนั้นให้เข้ารหัสหรือจัดเก็บด้วยความระมัดระวังเช่นเดียวกับการเข้าสู่ระบบของเราเตอร์

จากนั้นเขียนหนึ่งประโยค: หากฉันไม่สามารถเปิดเซสชันการจัดการใหม่จาก PATH ภายใน N นาทีของการเปลี่ยนแปลง ฉันจะกู้คืน FILE และรีบูต ประโยคบังคับให้ขอบเขตเหลือเพียงตัวแปรเดียว การแก้ไขเส้นทาง, DNS และไฟร์วอลล์ที่กระทำร่วมกันนั้นสามารถบันทึกได้อย่างรวดเร็วและแบ่งได้ช้าเมื่อคุณพยายามอีกครั้ง

ใช้ตัวจับเวลาการกระทำที่แพลตฟอร์มมี

หลายแพลตฟอร์มจะยกเลิกการเปลี่ยนแปลงให้กับคุณหากคุณไม่ยืนยันการเปลี่ยนแปลง เซฟโหมดของ RouterOS ซึ่งป้อนด้วย Ctrl+X ในเทอร์มินัล จะคืนค่าการเปลี่ยนแปลงที่ทำในเซสชันนั้นเมื่อเซสชันหยุดทำงาน Junos ย้อนกลับการกระทำที่ยังไม่ได้รับการยืนยันที่ได้รับการยืนยันแล้ว Cisco IOS จับคู่การรีโหลดพร้อมกับการยกเลิกการรีโหลด ไฟร์วอลล์ระดับองค์กรมักจะแสดงการเปลี่ยนแปลงที่รอดำเนินการด้วยตัวจับเวลาเปลี่ยนกลับอัตโนมัติ OpenWrt และเฟิร์มแวร์สำหรับผู้บริโภคส่วนใหญ่ไม่มีอะไรที่เทียบเท่ากัน ดังนั้นจึงต้องมีตัวจับเวลาภายนอก เช่น การกู้คืนตามกำหนดการ งาน cron ที่สลับไฟล์กลับและเริ่มบริการใหม่ หรือรีบูตเป็นการกำหนดค่าก่อนหน้า

อย่าถือว่าคุณลักษณะที่มีชื่อคล้ายกันครอบคลุมขอบเขตเดียวกัน การเปลี่ยนกลับอัตโนมัติของผลิตภัณฑ์หนึ่งอาจครอบคลุมเฉพาะกฎไฟร์วอลล์เท่านั้น ส่วนอีกรายการหนึ่งอาจครอบคลุมการกำหนดค่าทั้งหมด รวมถึงกฎการจัดการที่คุณเพิ่งเปลี่ยนเพื่อให้สามารถเข้าถึงได้ อ่านสิ่งที่ตัวจับเวลาย้อนกลับก่อนที่คุณจะเชื่อถือ

ตัวจับเวลาไม่สามารถทดแทนไฟล์ที่ส่งออกได้ มันจะล้มเหลวในกรณีที่สำคัญที่สุด: เซสชันยังคงอยู่ ส่วนระนาบการจัดการไม่ดำเนินการ และไม่มีสิ่งใดที่กระตุ้นให้เกิดการย้อนกลับ

ทดสอบการเชื่อมต่อใหม่ ไม่ใช่การเชื่อมต่อแบบเปิด

เซสชั่นที่จัดตั้งขึ้นมักจะทำงานต่อไปผ่านการเปลี่ยนแปลงที่ขัดขวางการจับมือกันใหม่ทุกครั้งเนื่องจากมีสถานะอยู่แล้วและนโยบายได้รับการประเมินเมื่อมีการสร้างการเชื่อมต่อ หลังจากการเปลี่ยนแปลง ให้สร้างการเชื่อมต่อใหม่จากระยะไกล: เซสชัน SSH ใหม่, การจับมือ VPN ใหม่จากไคลเอนต์, การโหลดเพจปกติไปยังที่อยู่ LAN ของเราเตอร์

# run these from the remote machine, in a new shell
ssh -o ConnectTimeout=8 admin@"$ROUTER_WAN"
nc -vz "$ROUTER_WAN" 443
dig +short example.internal "@$ROUTER_LAN"

จากนั้นทดสอบดาวน์สตรีมของทันเนลแทนที่จะทดสอบตัวทันเนลเอง: การจำแนกชื่อ การเชื่อมต่อ TCP กับบริการภายใน และแอปพลิเคชันที่คุณใช้จริง อุโมงค์ที่สร้างแต่ไม่แจก DNS ที่ใช้งานได้จะดูมีประสิทธิภาพดีในสถานะไคลเอ็นต์และใช้งานไม่ได้ในเบราว์เซอร์ และความแตกต่างนั้นจะตัดสินว่าคุณจะกู้คืนไฟล์หรือแก้ไขกฎข้อเดียว

ทำซ้ำหลังจากการบังคับตัดการเชื่อมต่อและเชื่อมต่อใหม่ และอีกครั้งหลังจากรีบูตหากแพลตฟอร์มใช้สถานะอีกครั้งเมื่อบู๊ต การกำหนดค่าบางอย่างผ่านการทดสอบจริงทุกครั้งและล้มเหลวในการบูตครั้งแรกโดยมีกฎใหม่เกิดขึ้น

ปิดประตูที่คุณเปิดไว้สำหรับหน้าต่าง

เอากฎผู้ดูแลแหล่งที่มาชั่วคราวใด ๆ บัญชีที่ใช้แล้วทิ้ง การรวมที่ขยายกว้างขึ้น กฎ DNS ที่อนุญาต และการบันทึกการตรวจแก้จุดบกพร่อง การลบออกนั้นเป็นการเปลี่ยนแปลงในเส้นทางที่คุณต้องพึ่งพา ดังนั้นให้รันการทดสอบการเชื่อมต่อใหม่หลังจากนั้นอีกครั้งจากระยะไกล

เก็บไฟล์ที่ส่งออกไว้จนกว่าการเปลี่ยนแปลงจะผ่านการรีบูตและไคลเอนต์จริงเชื่อมต่อใหม่ จากนั้นหมุนสิ่งที่คุณแชร์ในขณะที่หน้าต่างเปิดอยู่ การกำหนดค่าที่ทำงานจนกว่าจะบูตครั้งถัดไปเป็นวิธีที่เงียบในการสูญเสียเราเตอร์ในสัปดาห์ต่อมา โดยไม่มีใครจำได้ว่ากฎใดเป็นกฎชั่วคราว

จดการเปลี่ยนแปลงในตำแหน่งที่บุคคลถัดไปดู: สิ่งใดที่ถูกย้าย ไฟล์ใดที่เลิกทำ เส้นทางใดที่ไปถึงคอนโซล และกฎใดที่เป็นกฎชั่วคราว

ก่อนที่คุณจะเปิดหน้า VPN ต้องมีสี่สิ่งต่อไปนี้: ขั้นตอนการกู้คืนที่คุณทดสอบ เส้นทางที่สองที่คุณพิสูจน์แล้ว ไฟล์ที่ส่งออกที่คุณสามารถเข้าถึงได้จริง และทริกเกอร์ที่เป็นลายลักษณ์อักษร หากขาดอันใดอันหนึ่งให้แก้ไขก่อน การเปลี่ยนแปลงสามารถรอได้หนึ่งชั่วโมง การล็อคไม่สามารถ