Uzaktan Değişiklik Öncesi Yönlendirici VPN Geri Alma Nasıl Planlanır

Kendi oturumunuzu taşıyan tüneli düzenlemek üzeresiniz, böylece sizi kurtaran iş, değişimden sonraki mücadele sırasında değil, değişimden önce gerçekleşir. Güvenlik ağı VPN sayfasında değildir: düzenlediğiniz cihaz üzerinden geçmeyen geri yükleme ekranı, bir konsol veya ikinci bir yoldur. Üçünü de düzenlemek üzere olduğum aynı yönlendirici arayüzünde planlıyorum ve her şey hala çalışırken yolu bir kez kullanıyorum. Sırayla takip ettiğim yol bu.

İhtiyacınız olmadan önce geri yükleme akışını yürütün

Değişikliğinizi geri alacak sayfayı açın. pfSense'te Tanılama > Yedekleme ve Geri Yükleme; OpenWrt'ta Sistem > Yedekleme / Flash Firmware'dir; OPNsense'te Sistem > Yapılandırma > Yedeklemeler'dir; bu, aynı zamanda dosya olmadan geri dönebileceğiniz önceki revizyonları da tutar. Henüz hiçbir şeyi geri yüklemiyorsunuz. O sayfanın değişiklik sırasında sahip olacağınız yoldan açılıp açılmadığını, sonrasında yeniden başlatılmasını isteyip istemediğini, farklı bir firmware sürümü tarafından yazılmış bir arşivi reddedip reddetmediğini kontrol ediyorsunuz. Netgate kendi dışa aktarma ve geri yükleme akışını şu adreste belgelemektedir: docs.netgate.com.

Geri yükleme işlemi tüm yapılandırmayı değiştirir, dolayısıyla tek bir kuralın geri alınması anlamına gelmez. Arşiv, kullanıcıları, sertifikaları, VPN anahtarlarını, güvenlik duvarı kurallarını ve kimin oturum açabileceğine karar veren yönetici arayüzü ayarlarını taşır. Bu nedenle değişiklikten hemen önce dosyayı dışa aktarıyorum ve dosyayı tarih ve dokunmayı düşündüğüm tek ayarla adlandırıyorum. Bir aylık dosyayı geri yüklemek aynı zamanda bir aylık tüneli ve bir aylık anahtarı da geri yükler.

Platform yalnızca aynı sürüme ait arşivleri yüklüyorsa, şimdi şunu unutmayın: Firmware yükseltmesi artı bir pencerede VPN düzenlemesi, yönlendiricinin kabul etmeyeceği bir dosyayı elinizde tutmanıza neden olur.

Tüneli atlamanın bir yolunu kanıtlayın

Aynı dizüstü bilgisayardan aynı genel adrese yapılan ikinci bir SSH oturumu ikinci bir yol değildir; ikisi birlikte ölür. Bağımsız yol şunlardan biridir: bir seri veya KVM konsolu, bir hipervizör veya bulut konsolu, tünelin arkasında olmayan bir ana bilgisayardan erişilebilen bir yönetim VLAN'ı, kendi yönetim kuralına sahip ikinci bir WAN veya LTE modem veya sahadaki bir kişi.

Yönlendirici sağlıklı durumdayken seçilen yolu test edin. Üzerinden oturum açın, VPN sayfasını açın ve kaydetmeden önce durun. Bir kilitleme kuralı yalnızca kontrol paneline ulaşmasına izin veriyorsa, bunu düzeltmek için hâlâ zamanınız vardır ve düzeltmenin, kural sırasına göre reddetme kuralının üzerinde yer alması gerekir.

Çoğu yönlendirici, yönetici hizmetini bir arayüze veya adres ailesine bağlar, dolayısıyla hizmetin dinlediği yere bant dışı bir rotanın ulaşması gerekir. Pencerenin bağlamasını genişletmek işe yarar, ancak bu, bağımlı olduğunuz yolda yapılan bir değişikliktir.

Dosyayı dışa aktarın ve tetikleyiciyi yazın

Dışa aktarma işlemini yönlendiriciden ve tünelini kaybedebilecek makineden çıkarın. Yönlendirici dosya sisteminde depolanan bir yedekleme, tam olarak planladığınız arızada kaybolur ve bağlantıyı kaybetmek üzere olan dizüstü bilgisayarda oturan bir yedekleme çok daha iyidir.

Bu dosyayı bir kimlik bilgisi olarak ele alın. Özel anahtarları, önceden paylaşılmış sırları, sertifika malzemelerini ve şifre karmalarını barındırır; bu nedenle, yönlendirici oturum açma işlemiyle aynı özenle şifreleyin veya saklayın.

Sonra bir cümle yazın: Değişiklikten sonraki N dakika içinde PATH'den yeni bir yönetim oturumu açamazsam, FILE'ı geri yüklerim ve yeniden başlatırım. Cümle kapsamı tek bir değişkene indirir. Birlikte gerçekleştirilen rota, DNS ve güvenlik duvarı düzenlemelerinin kaydedilmesi hızlıdır ve bir deneme daha yaptığınızda ikiye bölünmesi yavaşlar.

Platformun sahip olduğu bir taahhüt zamanlayıcısı kullanın

Onaylamamanız durumunda çeşitli platformlar değişikliği sizin için geri alacaktır. Bir terminalde Ctrl+X ile girilen RouterOS Güvenli Modu, oturum kapandığında o oturumda yapılan değişiklikleri geri alır. Junos onaylanmamış bir taahhüdü geri alır. Cisco IOS çiftleri, yeniden yükleme iptali ile yeniden yüklenir. Kurumsal güvenlik duvarları genellikle beklemedeki değişiklikleri otomatik geri alma zamanlayıcısıyla gerçekleştirir. OpenWrt ve çoğu tüketici ürün yazılımının eşdeğeri yoktur, bu nedenle zamanlayıcının harici olması gerekir: planlanmış bir geri yükleme, bir dosyayı geri alıp hizmeti yeniden başlatan bir cron işi veya önceki yapılandırmaya yeniden başlatma.

Benzer şekilde adlandırılmış bir özelliğin aynı kapsamı kapsadığını varsaymayın. Bir ürünün otomatik geri dönüşü yalnızca güvenlik duvarı kurallarını kapsayabilir; bir diğeri, kendinizi ulaşılabilir tutmak için değiştirdiğiniz yönetim kuralı da dahil olmak üzere tüm yapılandırmayı kapsayabilir. Ona güvenmeden önce zamanlayıcının neyi geri döndürdüğünü okuyun.

Zamanlayıcı, dışa aktarılan bir dosyanın yerine geçmez. Burada en önemli durumda başarısız olur: Oturum hayatta kalır, yönetim düzlemi hayatta kalmaz ve hiçbir şey geri dönüşü tetiklemez.

Açık olanı değil, yepyeni bir bağlantıyı test edin

Yerleşik bir oturum genellikle her yeni el sıkışmayı engelleyen değişiklikler üzerinde çalışmaya devam ederçünkü durumu zaten mevcut ve politika bir bağlantı oluşturulduğunda değerlendiriliyor. Değişiklikten sonra uzak taraftan yeni bağlantılar oluşturun: yeni bir SSH oturumu, istemciden yeni bir VPN anlaşması, yönlendiricinin LAN adresine normal sayfa yükleme.

# run these from the remote machine, in a new shell
ssh -o ConnectTimeout=8 admin@"$ROUTER_WAN"
nc -vz "$ROUTER_WAN" 443
dig +short example.internal "@$ROUTER_LAN"

Ardından tünelin kendisi yerine tünelin aşağı akışını test edin: ad çözümlemesi, dahili bir hizmete TCP bağlantısı ve gerçekte kullandığınız uygulama. Kullanılabilir DNS oluşturup dağıtmayan bir tünel, istemci durumunda sağlıklı görünür ve tarayıcıda bozuk görünür ve bu fark, dosyayı geri yüklemenize veya bir kuralı düzeltmenize karar verir.

Zorunlu bağlantı kesildikten ve yeniden bağlandıktan sonra tekrarlayın ve platformun önyükleme sırasında durumu yeniden uygulaması durumunda yeniden başlatmanın ardından bir kez daha tekrarlayın. Bazı yapılandırmalar her canlı testi geçer ve yeni kurallar uygulandığında ilk açılışta başarısız olur.

Pencere için açtığınız kapıları kapatın

Geçici herhangi bir kaynak yönetici kuralını, tek kullanımlık hesabı, genişletilmiş bağlamayı, izin veren DNS kuralını ve hata ayıklama günlüğünü kaldırın. Bu kaldırma işlemi, bağımlı olduğunuz yoldaki bir değişikliktir; bu nedenle, yeni bağlantı testini bundan sonra uzak taraftan yeniden çalıştırın.

Dışa aktarılan dosyayı, değişiklik yeniden başlatma ve gerçek istemci yeniden bağlantısından sonra kalana kadar saklayın, ardından pencere açıkken paylaştığınız her şeyi döndürün. Bir sonraki önyüklemeye kadar çalışan bir yapılandırma, bir hafta sonra, kimsenin hangi kuralın geçici olduğunu hatırlamadığı bir zamanda yönlendiriciyi kaybetmenin sessiz bir yoludur.

Değişikliği bir sonraki kişinin baktığı yere yazın: Ne taşınmış, hangi dosya onu geri almış, hangi yol konsola ulaşmış ve hangi kural geçiciymiş.

VPN sayfasını açmadan önce dört şeyin mevcut olması gerekir: test ettiğiniz bir geri yükleme akışı, kanıtladığınız ikinci bir yol, gerçekten ulaşabileceğiniz dışa aktarılan bir dosya ve yazılı bir tetikleyici. Eksik varsa önce onu düzeltin. Değişiklik bir saat bekleyebilir; lokavt olamaz.