VPN sunucunuzun dışında kilitli kaldınız: ikinci bir giriş yolu bulundurun
Bozuk bir tünel, sunucuyu onarma yeteneğinizi de elinizden almamalı. İhtiyaç duymadan önce bağımsız bir yönetim yolu planlayın, test edin ve gözden geçirin.
Konsolu açıp bir güvenlik duvarı kuralını değiştiriyorsunuz ve bağlı olduğunuz tünel kayboluyor. Değişiklik doğruydu, yeniden yükleme değildi, ve artık makineye dönüşün tek yolu az önce kırdığınız yol. İkinci bir giriş yolu bir tasarım kararıdır ve kesintiden önce var olmalıdır, kesinti sırasında değil.
Elinde kalanları gözden geçir
Önünüzdeki konsol ekranından başlayın ve tünele bağlı olmayan yolları listeleyin. Sağlayıcının seri veya VNC oturumlu web konsolu bir tanesidir. Ayrı bir ağdaki yönetim arayüzü bir diğeridir. Fiziksel erişim üçüncüsüdür ve insanların en kötü anda eksik olduğunu fark ettiği yol budur.
| Path | Depends on | Usually fails when |
|---|---|---|
| Provider console | Account access and the provider's own API | Credentials live in a wiki only reachable over the tunnel |
| Management subnet | A second interface and its own routing | The bad change was a global route or firewall policy |
| Second tunnel | A different listener, port and credentials | Both listeners were changed in the same edit |
| Physical or local console | Being in the building | Nobody has been in the building for a year |
Üçüncü sütunu bir soyutlama değil, arıza listesi olarak okuyun. Bu yollardan ikisi genellikle aynı nedenle başarısız olur. Tablo, bir kesinti size açıklamadan önce bunu fark etme biçiminizdir.
Bağımsızlık bir bağımlılık sorunudur
Kurtarma hesabı, parolası tünel üzerinden ulaştığınız bir hizmette saklanıyorsa bağımsız değildir. Aynı ana bilgisayarda, aynı bağlantı noktasında ve aynı güvenlik duvarı ilkesinde ikinci bir VPN de bağımsız değildir, çünkü birincisini kıran değişiklik ikisini de kırar.
Zincirden aşağı inin ve her adımın neye ihtiyacı olduğunu adlandırın. Ağ erişilebilirliği, ad çözümlemesi, bir kimlik doğrulama kaynağı ve yönetim hizmetinin kendisi dört ayrı bağımlılıktır ve bunlardan herhangi birini paylaşan bir yol o arızayı devralır.
Hiç test edilmemiş yol kendi kuşkusunu hak eder. Aylardır açılmayan bir konsol e-postayla parola sıfırlama gerektirebilir ve o posta kutusu ulaşamadığınız makinede barınıyor olabilir. Her şey çalışırken yolu test edin ve bunu sakin bir öğleden sonra bulacaksınız.
İkinci yolu tek bir denetimli değişiklik için kullanın
Konsoldan anlık görüntü alın veya düzenleyeceğiniz yapılandırmayı kopyalayın. Tek bir şeyi değiştirin. Hizmeti yeniden yükleyin ve başka bir şeye dokunmadan önce sonucu okuyun, çünkü aynı anda iki değişiklik bir kurtarmayı deneye dönüştürür.
Bunu yaparken kurtarma oturumunu açık tutun. İkinci yolun bütün değeri, değiştirdiğiniz şeyin kendisinden sağ çıkmasıdır; bu yüzden onu önce kapatmak, onu yararlı kılan tek özelliği ortadan kaldırır.
Bellekten değil, kurtarma yolundan doğrulayın
Önemli olan denetim normal yolun geri dönüp dönmediğidir ve kurtarma oturumu bunu sırayla doğruladığınız yerdir:
systemctl status openvpn-server@server --no-pager ss -lntup | grep -E ':(1194|443)\b' nft list ruleset | sed -n '1,40p' journalctl -u openvpn-server@server --since '-10 min' --no-pager | tail -n 30
Önce hizmet durumunu, sonra dinleyiciyi, sonra kuralları, sonra günlüğü okuyun. Dinleyicisi olmadan çalışan bir hizmet hizmet yapılandırmasına işaret eder, erişilebilir kuralı olmayan bir dinleyici ise filtrelemeye işaret eder. Sıra önemlidir çünkü her adım bir sonrakini daraltır ve günlüğe atlamak genellikle nedeni değil belirtiyi anlatan hataları okumak demektir.
systemctl belgeleri burada kullanılan durum ve yeniden başlatma davranışını kapsar, başarısız bir yeniden yüklemenin önceki süreci çalışır durumda bırakması dahil. Tutarlı bir revizyonu geri yüklemek, sunucuyu onaramayan bir istemciden tekrar tekrar bağlanmaktan iyidir. Değişiklikten önce tanımladığınız geri alma koşulu karşılandıysa geri yükleyin ve durun.
Envanteri güncel tutun
İnsanlar veya altyapı değiştiğinde erişim listesini gözden geçirin. Her şey çalışırken kurtarma yolunu test edin. Son yeniden yapılanmadan bu yana kimsenin kullanmadığı hesapları devre dışı bırakın. İki eski hesap ve bir süresi geçmiş sertifika, salı günü küçük bir temizlik ve pazar günü bir kesintidir.
Her yolu kimin kullanabileceğini, neye izin verdiğini ve kimlik bilgilerinin nasıl döndürüldüğünü kaydedin. Sahibi olmayan bir kurtarma yolu unutulmuş bir girişe dönüşür; bu da dışarıda kilitli kalmaktan farklı bir arıza türüdür.