Nakalabas sa iyong VPN server: panatilihin ang ikalawang daan papasok
Hindi dapat alisin ng sirang tunel pati ang kakayahan mong ayusin ang server. Plano, subukan at suriin ang malayang administratibong daan bago mo ito kailanganin.
Binubuksan mo ang console, binabago ang isang patakaran ng firewall, at nawawala ang tunel na kinakabitan mo. Tama ang pagbabago, hindi ang muling pag-load, at ngayon ang tanging rutang pabalik sa makina ay ang kaaabali mo pa lang na sirain. Ang ikalawang daan papasok ay isang desisyon sa disenyo, at dapat itong umiral bago ang pagkaabala, hindi habang nangyayari ito.
Balikan ang natitira sa iyo
Magsimula sa screen ng console sa harap mo at ilista ang mga daang hindi nakadepende sa tunel. Ang web console ng provider na may serial o VNC session ay isa. Ang interface ng pamamahala sa hiwalay na network ay isa pa. Ang pisikal na pag-access ang pangatlo, at ito ang natutuklasan ng mga tao na kulang sa pinakamasamang sandali.
| Path | Depends on | Usually fails when |
|---|---|---|
| Provider console | Account access and the provider's own API | Credentials live in a wiki only reachable over the tunnel |
| Management subnet | A second interface and its own routing | The bad change was a global route or firewall policy |
| Second tunnel | A different listener, port and credentials | Both listeners were changed in the same edit |
| Physical or local console | Being in the building | Nobody has been in the building for a year |
Basahin ang ikatlong hanay bilang listahan ng mga pagkabigo at hindi bilang abstraksyon. Dalawa sa mga daang iyon ay karaniwang nabigo sa parehong dahilan. Ang talahanayan ang paraan upang mapansin mo iyon bago pa ipaliwanag sa iyo ng isang pagkaabala.
Ang kalayaan ay tanong ng mga dependency
Ang account sa pagbawi ay hindi malaya kung ang password nito ay nakaimbak sa isang serbisyong naaabot mo sa pamamagitan ng tunel. Ang ikalawang VPN sa parehong host, parehong port at parehong patakaran ng firewall ay hindi rin malaya, dahil ang pagbabagong sumira sa una ay sumisira sa dalawa.
Bumaba sa kadena at pangalanan kung ano ang kailangan ng bawat hakbang. Ang maabot ng network, paglutas ng pangalan, isang pinagmulan ng pagpapatotoo at ang serbisyo ng pamamahala mismo ay apat na hiwalay na dependency, at ang daang nagbabahagi ng alinman sa mga ito ay nagmamana ng pagkabigong iyon.
Ang daang hindi kailanman sinubukan ay karapat-dapat sa sarili nitong hinala. Ang console na hindi nabuksan nang ilang buwan ay maaaring mangailangan ng pag-reset ng password sa email, at ang mailbox na iyon ay maaaring naka-host sa makinang hindi mo maabot. Subukan ang daan habang gumagana ang lahat at makikita mo ito sa isang tahimik na hapon.
Gamitin ang ikalawang daan para sa isang kontroladong pagbabago
Mula sa console, kumuha ng snapshot o kopyahin ang configuration na iyong i-edit. Baguhin ang isang bagay. I-load muli ang serbisyo at basahin ang resulta bago hawakan ang anupaman, dahil ang dalawang pagbabago nang sabay ay ginagawang eksperimento ang pagbawi.
Panatilihing bukas ang session ng pagbawi habang ginagawa ito. Ang buong halaga ng ikalawang daan ay nakaligtas ito sa bagay na binabago mo, kaya pagsasara nito nang una ay nag-aalis ng tanging katangiang nagbigay halaga dito.
I-verify mula sa daan ng pagbawi, hindi sa memorya
Ang pagsusuring mahalaga ay kung bumabalik ang normal na daan, at ang session ng pagbawi ang lugar kung saan mo ito kinukumpirma ayon sa pagkakasunod-sunod:
systemctl status openvpn-server@server --no-pager ss -lntup | grep -E ':(1194|443)\b' nft list ruleset | sed -n '1,40p' journalctl -u openvpn-server@server --since '-10 min' --no-pager | tail -n 30
Basahin muna ang estado ng serbisyo, pagkatapos ang tagapakinig, pagkatapos ang mga patakaran, pagkatapos ang journal. Ang serbisyong tumatakbo nang walang tagapakinig ay tumuturo sa configuration ng serbisyo, samantalang ang tagapakinig na walang maabot na patakaran ay tumuturo sa pag-filter. Mahalaga ang pagkakasunod-sunod dahil pinaliit ng bawat hakbang ang susunod, at ang paglukso sa journal ay karaniwang nangangahulugang pagbasa ng mga error na naglalarawan ng sintomas at hindi ng sanhi.
Ang dokumentasyon ng systemctl ay sumasaklaw sa pag-uugali ng estado at pag-restart na ginagamit dito, kabilang ang kung paano iniiwan ng nabigong pag-load muli ang nakaraang proseso na tumatakbo. Ang pagpapanumbalik ng magkakaugnay na rebisyon ay mas mabuti kaysa sa paulit-ulit na pagkonekta mula sa isang client na hindi kayang ayusin ang server. Kung natugunan ang kundisyon ng pag-urong na tinukoy mo bago ang pagbabago, ibalik at huminto.
Panatilihing napapanahon ang imbentaryo
Suriin ang listahan ng pag-access kapag nagbago ang mga tao o imprastraktura. Subukan ang daan ng pagbawi habang gumagana ang lahat. Iretiro ang mga account na walang gumamit mula noong huling reorganisasyon. Ang dalawang lumang account at isang nag-expire na sertipiko ay maliit na paglilinis sa Martes at pagkaabala sa Linggo.
Itala kung sino ang makakagamit ng bawat daan, ano ang pinapayagan nito at paano pinaiikot ang mga kredensyal. Ang daan ng pagbawi na walang may-ari ay nagiging nakalimutang pasukan, na ibang uri ng pagkabigo kaysa sa makulong sa labas.