Paano ibalik nang ligtas ang configuration ng isang VPN server

Ang pagbabalik ng server ay desisyon tungkol sa kung aling antas ang nabigo, hindi ehersisyo sa pagkopya ng file. Ang configuration, mga kredensyal at bersyon ng pakete ay gumagalaw sa magkakaibang orasan, at ang pagpapanumbalik ng isa habang ang iba ay nananatiling bago ay gumagawa ng host na mukhang malusog at kumikilos nang hindi magkakatugma. Ipinapalagay ng pagkakasunod-sunod sa ibaba na may pagbabagong nagkamali na at hinihiling sa iyong ibalik ang pinakamaliit na magkatugmang kalagayan. Sundan ito nang sunod-sunod, at ituring ang pagsusuri ng access sa labas ng banda bilang hakbang na walang dapat laktawan.

Kumuha ng checkpoint na talagang maibabalik mo

Itala ang configuration na binabasa ng serbisyo sa pagsisimula, kasama ang bersyon na huling nag-parse nito. Ang file na malinis na naglo-load sa lumang release ay maaaring tanggihan o tahimik na balewalain pagkatapos ng upgrade, kaya ang bersyon ay kabilang sa parehong tala. Isama ang materyal na tinutukoy ng configuration: mga pribadong key, landas ng sertipiko, depinisyon ng tagapakinig at ang mga entry ng DNS at firewall na nagpapadaling maabot ang serbisyo. Kung ang pagpapanumbalik ay mangangailangan ng file na hindi mo sinave, hindi kumpleto ang checkpoint.

Pangalanan ang may-ari ng bawat setting habang malusog pa ang sistema. Ang rutang ikinabit ng panel ng provider, ang idinagdag ng firewall ng host at ang ipinapadala sa mga kliyente ay tatlong magkakaibang bagay, at ang pagpapanumbalik ng mali ay iniiwan ang dalawa pa sa puwesto. Sapat na ang maikling talahanayan ng setting, may-ari at landas ng file.

Ihiwalay ang mga pagbabawi sa configuration

Maaaring tahimik na ikonekta muli ng lumang configuration ang device na sadyang inalis mo, na ginagawang regression sa seguridad ang isang pagbawi. Panatilihin ang kasalukuyang listahan ng pagbabawi at ang mga naka-disable na account habang pinapanumbalik ang patakaran sa network, pagkatapos ay ilapat muli ang mga ito bago tumanggap ng kliyente ang serbisyo.

Ituring ang kalagayan ng pagkakakilanlan bilang sariling pagbabalik na may sariling ebidensya. Ang mga file ng pagbabawi ng sertipiko, pag-disable ng account at pagpapatala sa MFA ay bihirang nasa parehong lugar ng configuration ng daemon, at hindi sila gagalawin ng pagpapanumbalik ng configuration. Suriin muna ang kasalukuyang kalagayan upang malaman kung ano ang dapat manatili. Pagkatapos ng pagpapanumbalik, tiyakin na hindi pa rin makakonekta ang inalis na pagkakakilanlan.

Maabot ang host kapag pumalya ang tunnel

Magbukas ng landas patungo sa makina na hindi umaasa sa sangkap na binabago. Ang console ng hypervisor, address ng pangangasiwa sa hiwalay na interface o serial console ay lahat angkop; ang SSH session na dinadala sa tunnel ay hindi. Kung ang tanging pasukan ay ang VPN na malapit mo nang i-restart, inaalis ng masamang ruta o tuntunin ng firewall ang kakayahan mong ituwid ito. Subukan ang alternatibong landas bago ang pagbabago, hindi pagkatapos. Mag-log in dito isang beses, tiyakin na gumagana ang sudo at itala ang eksaktong address na ginamit mo.

Simple lang ang pagsubok: ibaba ang tunnel habang konektado sa alternatibong landas at tingnan kung nabubuhay ang session. Kung maputol, natagpuan mo ang depekto bago ka pa nito maipit.

Maglapat ng isang rebisyon lamang at alamin kung kailan ito magkakabisa

Gamitin ang dokumentasyon ng serbisyo para sa reload o restart at alamin kung aling mga direktiba ang binabasa sa anong sandali. Ang ilang halaga ay nalalapat sa reload, ang iba ay kapag nagsimula ang bagong session o proseso, kaya walang pinatutunayan ang pag-edit ng file tungkol sa tumatakbong kalagayan. Ibalik ang isang rebisyon sa halip na haluin ang bagong file sa lumang runtime na kalagayan. Kapag may pag-aalinlangan, mas madaling isipin ang buong restart ng serbisyo kaysa sa bahagyang reload.

Suriin ang depinisyon ng unit bago pumili: systemctl show -p ExecReload openvpn@server sinasabi sa iyo kung mayroon talagang kawit ng reload. Pagkatapos ay ilapat ang rebisyon at basahin sa journal ang mga unang bagong error bago baguhin ang anupaman.

I-verify, itala at imbestigahan pagkatapos

Ikonekta ang isang awtorisadong kliyente at sanayin kung para saan ang serbisyo: paglutas ng pangalan, muling pagkonekta at ang application na pumalya. Tiyakin na tinatanggihan pa rin ang binawing pagkakakilanlan. Itala ang rebisyong naibalik, ang oras at ang dahilan, dahil kakailanganin ng susunod na operator ang tatlo. Ang pagbabalik na walang naidokumento ay nagiging hiwagang muli kapag hindi maayos na kumilos ang serbisyo.

systemctl status openvpn@server --no-pager
journalctl -u openvpn@server -n 50 --no-pager

Kapag matatag na ang serbisyo, muling likhain ang bigong pagbabago sa host o snapshot na maaari mong itapon. Inihihiwalay nito ang masamang configuration sa masamang pakete o nag-expire na sertipiko. Panatilihin ang naibalik na configuration sa ilalim ng kontrol ng bersyon upang magsimula ang susunod na checkpoint sa kilalang commit. Ang layunin ng ehersisyo ay dokumentadong dulo, hindi permanenteng pagbaba ng bersyon.