VPN sunucu yapılandırması güvenle nasıl geri alınır

Bir sunucuyu geri almak, hangi katmanın başarısız olduğuna dair bir karardır, dosya kopyalama alıştırması değildir. Yapılandırma, kimlik bilgileri ve paket sürümleri ayrı saatlerle ilerler ve biri geri yüklenirken diğerleri güncel kalırsa sağlıklı görünen ama tutarsız davranan bir ana makine ortaya çıkar. Aşağıdaki sıra, bir değişikliğin zaten ters gittiğini varsayar ve sizden en küçük tutarlı durumu geri yüklemenizi ister. Sırayla ilerleyin ve bant dışı erişim denetimini kimsenin atlamaması gereken adım olarak görün.

Gerçekten geri yükleyebileceğiniz bir denetim noktası alın

Hizmetin başlangıçta okuduğu yapılandırmayı, onu son kez ayrıştıran sürümle birlikte kaydedin. Eski bir sürümde temiz yüklenen bir dosya, yükseltmeden sonra reddedilebilir veya sessizce yok sayılabilir, bu nedenle sürüm aynı nota aittir. Yapılandırmanın işaret ettiği malzemeyi de ekleyin: özel anahtarlar, sertifika yolları, dinleyici tanımları ve hizmeti erişilebilir kılan DNS ile güvenlik duvarı kayıtları. Geri yükleme, kaydetmediğiniz bir dosyaya ihtiyaç duyacaksa denetim noktası eksiktir.

Sistem hâlâ sağlıklıyken her ayarın sahibini adlandırın. Sağlayıcı panelinin kurduğu yol, ana makinenin güvenlik duvarının eklediği yol ve istemcilere gönderilen yol üç ayrı nesnedir ve yanlış olanı geri yüklemek diğer ikisini yerinde bırakır. Ayar, sahip ve dosya yolu içeren kısa bir tablo yeterlidir.

İptalleri yapılandırmadan ayrı tutun

Eski bir yapılandırma, bilerek kaldırdığınız bir cihazı sessizce yeniden bağlayabilir, bu da kurtarmayı bir güvenlik geri adımına dönüştürür. Ağ ilkesini geri yüklerken mevcut iptal listesini ve devre dışı bırakılmış hesapları koruyun, sonra hizmet istemci kabul etmeden önce bunları yeniden uygulayın.

Kimlik durumunu kendi kanıtları olan ayrı bir geri alma olarak ele alın. Sertifika iptal dosyaları, hesap devre dışı bırakma ve MFA kaydı nadiren daemon yapılandırmasıyla aynı yerde bulunur ve yapılandırma geri yüklemesi onlara dokunmaz. Neyin hayatta kalması gerektiğini bilmek için önce mevcut durumu denetleyin. Geri yüklemeden sonra kaldırılan kimliğin hâlâ bağlanamadığını doğrulayın.

Tünel başarısız olduğunda ana makineye ulaşın

Değiştirilen bileşene bağlı olmayan bir yol açın. Hipervizör konsolu, ayrı bir arayüzdeki yönetim adresi veya seri konsol uygundur; tünelden taşınan bir SSH oturumu uygun değildir. Tek giriş yolu yeniden başlatmak üzere olduğunuz VPN ise, kötü bir yol veya güvenlik duvarı kuralı onu düzeltme yeteneğinizi elinizden alır. Alternatif yolu değişiklikten önce sınayın, sonra değil. Bir kez onun üzerinden oturum açın, sudo'nun çalıştığını doğrulayın ve kullandığınız tam adresi not edin.

Sınav basittir: alternatif yol üzerinden bağlıyken tüneli indirin ve oturumun ayakta kalıp kalmadığına bakın. Düşerse, sizi kilitleyemeden önce arızayı buldunuz.

Tek bir revizyon uygulayın ve ne zaman yürürlüğe girdiğini bilin

Hizmetin reload veya restart belgelerini kullanın ve hangi yönergelerin hangi anda okunduğunu öğrenin. Bazı değerler reload sırasında geçerlidir, diğerleri yalnızca yeni bir oturum veya süreç başladığında, bu yüzden bir dosyayı düzenlemek çalışan durum hakkında hiçbir şey kanıtlamaz. Yeni dosyayı eski çalışma zamanı durumuyla karıştırmak yerine tek bir revizyonu geri yükleyin. Kuşkuda, hizmetin tam yeniden başlatılması kısmi bir reload'dan daha kolay gerekçelendirilir.

Seçmeden önce birim tanımını denetleyin: systemctl show -p ExecReload openvpn@server size bir reload kancasının olup olmadığını söyler. Sonra revizyonu uygulayın ve başka bir şeyi değiştirmeden önce günlükteki ilk yeni hataları okuyun.

Doğrulayın, kaydedin ve sonrasında araştırın

Yetkili bir istemci bağlayın ve hizmetin ne için olduğunu deneyin: ad çözümlemesi, yeniden bağlanma ve başarısız olan uygulama. İptal edilen kimliğin hâlâ reddedildiğini doğrulayın. Geri yüklediğiniz revizyonu, saati ve nedeni kaydedin, çünkü bir sonraki operatör üçüne de ihtiyaç duyacaktır. Kimsenin belgelemediği bir geri alma, hizmet bir dahaki sefere kötü davrandığında gizeme dönüşür.

systemctl status openvpn@server --no-pager
journalctl -u openvpn@server -n 50 --no-pager

Hizmet kararlı olduğunda, başarısız değişikliği atabileceğiniz bir ana makinede veya anlık görüntüde yeniden üretin. Bu, kötü yapılandırmayı kötü paketten veya süresi dolmuş sertifikadan ayırır. Geri yüklenen yapılandırmayı sürüm denetimi altında tutun ki bir sonraki denetim noktası bilinen bir commit'ten başlasın. Alıştırmanın amacı belgelenmiş bir bitiş noktasıdır, kalıcı bir sürüm düşürmesi değil.