Paano Magplano ng Router VPN Rollback Bago ang Malayong Pagbabago

Ie-edit mo na ang tunnel na nagdadala ng sarili mong session, kaya ang gawaing nagliligtas sa iyo ay nangyayari bago ang pagbabago, hindi sa panahon ng pag-aagawan pagkatapos nito. Ang safety net ay wala sa pahina ng VPN: ito ay ang restore screen, isang console, o isang pangalawang landas na hindi tumatakbo sa device na iyong ini-edit. Plano ko ang lahat ng tatlo sa parehong interface ng router na malapit ko nang i-edit, at ginagamit ko ang landas nang isang beses habang gumagana pa rin ang lahat. Ito ang walkthrough na sinusunod ko, sa pagkakasunud-sunod.

Maglakad sa daloy ng pagpapanumbalik bago mo ito kailanganin

Buksan ang page na mag-undo sa iyong pagbabago. Sa pfSense na Diagnostics > Backup & Restore; sa OpenWrt ito ay System > Backup / Flash Firmware; sa OPNsense ito ay System > Configuration > Backups, na nagpapanatili din ng mga nakaraang rebisyon na maaari mong ibalik nang walang file. Wala ka pang nire-restore. Sinusuri mo kung magbubukas ang page na iyon mula sa landas na magkakaroon ka sa panahon ng pagbabago, kung gusto nito ng reboot pagkatapos, at kung tinatanggihan nito ang isang archive na isinulat ng ibang release ng firmware. Ang Netgate ay nagdodokumento ng sarili nitong pag-export at pagpapanumbalik ng daloy sa docs.netgate.com.

Pinapalitan ng isang pag-restore ang buong configuration, kaya hindi ito isang pag-undo para sa isang panuntunan. Ang archive ay nagdadala ng mga user, certificate, VPN key, firewall rules, at mga setting ng interface ng admin na nagpapasya kung sino ang maaaring mag-log in. Iyon ang dahilan kung bakit agad akong nag-e-export bago ang pagbabago at pangalanan ang file ng petsa at ang nag-iisang setting na balak kong hawakan. Ang pagpapanumbalik ng isang buwang gulang na file ay nagre-restore din ng isang buwang gulang na tunnel at isang buwang gulang na susi.

Kung ang platform ay naglo-load lamang ng mga archive mula sa parehong release, tandaan ito ngayon: isang pag-upgrade ng firmware at isang pag-edit ng VPN sa isang window ay nag-iiwan sa iyo na may hawak na file na hindi tatanggapin ng router.

Patunayan ang isang paraan sa paglaktaw sa tunnel

Ang pangalawang session ng SSH mula sa parehong laptop patungo sa parehong pampublikong address ay hindi pangalawang landas; pareho silang namamatay. Ang independiyenteng landas ay isa sa mga ito: isang serial o KVM console, isang hypervisor o cloud console, isang management VLAN na maaabot mula sa isang host na wala sa likod ng tunnel, isang pangalawang WAN o LTE modem na may sarili nitong administratibong panuntunan, o isang tao sa site.

Subukan ang napiling landas habang malusog ang router. Mag-log in dito, buksan ang pahina ng VPN, at huminto bago mag-save. Kung ang isang lock-down na panuntunan ay hinahayaan lamang itong maabot ang dashboard, mayroon ka pa ring oras upang ayusin iyon, at ang pagwawasto ay kailangang maupo sa itaas ng tuntunin ng pagtanggi sa ayos ng panuntunan.

Karamihan sa mga router ay nagbibigkis sa serbisyo ng admin sa isang interface o isang pamilya ng address, kaya kailangang dumating ang isang out-of-band na ruta kung saan nakikinig ang serbisyong iyon. Ang pagpapalawak ng pagbubuklod para sa window ay gumagana, ngunit ito mismo ay isang pagbabago sa landas kung saan ka umaasa.

I-export ang file at isulat ang trigger

Ilipat ang pag-export sa router at sa makina na maaaring mawala ang tunnel nito. Ang isang backup na naka-imbak sa router filesystem ay nawawala sa eksaktong kabiguan na iyong pinaplano, at ang isa na nakaupo sa laptop na malapit nang mawalan ng koneksyon ay halos mas mahusay.

Tratuhin ang file na iyon bilang isang kredensyal. Nagtataglay ito ng mga pribadong key, mga preshared na lihim, materyal ng sertipiko, at mga hash ng password, kaya i-encrypt ito o iimbak ito nang may parehong pangangalaga tulad ng pag-login ng router.

Pagkatapos ay magsulat ng isang pangungusap: kung hindi ako makapagbukas ng bagong session ng pamamahala mula sa PATH sa loob ng N minuto ng pagbabago, nire-restore ko ang FILE at nagre-reboot. Pinipilit ng pangungusap ang saklaw pababa sa isang variable. Ang mga pag-edit ng ruta, DNS, at firewall na pinagsama-sama ay mabilis na nai-save at mabagal sa paghahati-hati kapag nakakuha ka ng isa pang pagsubok.

Gumamit ng commit timer kung saan mayroon ang platform

I-undo ng ilang platform ang pagbabago para sa iyo kung hindi mo ito kumpirmahin. Ang RouterOS Safe Mode, na inilagay gamit ang Ctrl+X sa isang terminal, ay ibinabalik ang mga pagbabagong ginawa sa session na iyon kapag bumaba ang session. Ibinalik ni Junos ang isang hindi kumpirmadong pangako na nakumpirma. Nagre-reload ang mga pares ng Cisco IOS na may pagkansela ng reload. Ang mga firewall ng enterprise ay karaniwang nagpapalabas ng mga nakabinbing pagbabago gamit ang isang timer ng auto-revert. Ang OpenWrt at karamihan sa firmware ng consumer ay walang katumbas, kaya dapat na external ang timer: isang naka-iskedyul na pag-restore, isang cron job na nagpapalit ng file pabalik at nagre-restart ng serbisyo, o isang reboot sa nakaraang configuration.

Huwag ipagpalagay na ang isang katulad na pinangalanang tampok ay sumasaklaw sa parehong saklaw. Ang auto-revert ng isang produkto ay maaaring sumasaklaw lamang sa mga panuntunan ng firewall; maaaring sakupin ng isa pa ang buong configuration, kabilang ang panuntunan sa pamamahala na kakabago mo lang para panatilihing maabot ang iyong sarili. Basahin kung ano ang ibinabalik ng timer bago ka umasa dito.

Ang isang timer ay walang kapalit para sa isang na-export na file. Nabigo ito sa kaso na pinakamahalaga dito: ang session ay nananatili, ang management plane ay hindi, at walang anumang nag-trigger sa pagbabalik.

Subukan ang isang bagong-bagong koneksyon, hindi ang bukas

Ang isang naitatag na session ay madalas na patuloy na gumagana sa pamamagitan ng mga pagbabagong humaharang sa bawat bagong pagkakamay, dahil umiiral na ang estado nito at sinusuri ang patakaran kapag may ginawang koneksyon. Pagkatapos ng pagbabago, lumikha ng mga bagong koneksyon mula sa malayong bahagi: isang sariwang session ng SSH, isang sariwang VPN handshake mula sa isang kliyente, isang normal na pag-load ng pahina sa address ng LAN ng router.

# run these from the remote machine, in a new shell
ssh -o ConnectTimeout=8 admin@"$ROUTER_WAN"
nc -vz "$ROUTER_WAN" 443
dig +short example.internal "@$ROUTER_LAN"

Pagkatapos ay subukan ang downstream ng tunnel sa halip na ang tunnel mismo: resolution ng pangalan, isang koneksyon sa TCP sa isang panloob na serbisyo, at ang application na aktwal mong ginagamit. Ang isang tunnel na nagtatatag ngunit hindi nagbibigay ng magagamit na DNS ay mukhang malusog sa status ng kliyente at sira sa browser, at ang pagkakaibang iyon ang magpapasya kung ire-restore mo ang file o aayusin ang isang panuntunan.

Ulitin pagkatapos ng sapilitang idiskonekta at muling kumonekta, at muli pagkatapos ng pag-reboot kung muling ilalapat ng platform ang estado sa boot. Ang ilang mga configuration ay pumasa sa bawat live na pagsubok at nabigo sa unang pag-boot na may mga bagong panuntunan sa lugar.

Isara ang mga pinto na iyong binuksan para sa bintana

Alisin ang pansamantalang panuntunan ng admin sa anumang pinagmulan, ang itinapon na account, ang pinalawak na pagkakatali, ang pinahihintulutang panuntunan ng DNS, at ang pag-log ng debug. Ang pag-aalis na iyon ay isang pagbabago mismo sa landas kung saan ka umaasa, kaya muling patakbuhin ang bagong pagsubok sa koneksyon pagkatapos nito, mula sa malayong bahagi.

Panatilihin ang na-export na file hanggang sa makaligtas ang pagbabago sa pag-reboot at muling kumonekta ang isang tunay na kliyente, pagkatapos ay i-rotate ang anumang ibinahagi mo habang nakabukas ang window. Ang isang configuration na gumagana hanggang sa susunod na boot ay isang tahimik na paraan upang mawala ang isang router makalipas ang isang linggo, kapag walang nakakaalala kung aling panuntunan ang pansamantala.

Isulat ang pagbabago kung saan tumitingin ang susunod na tao: kung ano ang inilipat, aling file ang nag-undo nito, aling landas ang nakakarating sa console, at aling panuntunan ang pansamantala.

Bago mo buksan ang pahina ng VPN, apat na bagay ang dapat na umiiral: isang daloy ng pagpapanumbalik na sinubukan mo, isang pangalawang landas na napatunayan mo, isang na-export na file na maaari mong aktwal na maabot, at isang nakasulat na trigger. Kung may kulang, ayusin muna. Ang pagbabago ay maaaring maghintay ng isang oras; hindi pwede ang lockout.