Як спланувати відкат маршрутизатора VPN до віддаленої зміни

Ви збираєтеся відредагувати тунель, який несе ваш власний сеанс, тому робота, яка зберігає вас, відбувається до зміни, а не під час скремблування після нього. Мережа безпеки не знаходиться на сторінці VPN: це екран відновлення, консоль або другий шлях, який не проходить через пристрій, який ви редагуєте. Я планую всі три на тому самому інтерфейсі маршрутизатора, який збираюся редагувати, і я використовую шлях один раз, поки все ще працює. Це покрокове керівництво, яке я дотримуюся, по порядку.

Пройдіть процес відновлення, перш ніж він вам знадобиться

Відкрийте сторінку, яка скасує вашу зміну. На pfSense, тобто Діагностика > Резервне копіювання та відновлення; на OpenWrt це System > Backup / Flash Firmware; на OPNsense це Система > Конфігурація > Резервні копії, де також зберігаються попередні версії, до яких можна повернутися без файлу. Ви ще нічого не відновлюєте. Ви перевіряєте, чи ця сторінка відкривається зі шляху, який ви матимете під час зміни, чи бажає вона після цього перезавантажитися та чи відхиляє архів, створений іншою версією мікропрограми. Netgate документує свій власний потік експорту та відновлення на docs.netgate.com.

Відновлення змінює всю конфігурацію, тому це не скасування одного правила. Архів містить користувачів, сертифікати, ключі VPN, правила брандмауера та параметри інтерфейсу адміністратора, які вирішують, хто може ввійти. Ось чому я експортую безпосередньо перед зміною та називаю файл із датою та єдиним параметром, якого я збираюся торкнутися. Відновлення файлу місячної давності також відновлює тунель місячної давності та ключ місячної давності.

Якщо платформа завантажує лише архіви з того самого випуску, зверніть увагу: оновлення мікропрограми та редагування VPN в одному вікні залишають у вас файл, який маршрутизатор не сприйме.

Доведіть шлях, який пропускає тунель

Другий сеанс SSH з того самого ноутбука на ту саму публічну адресу не є другим шляхом; обидва гинуть разом. Незалежний шлях є одним із таких: послідовна консоль або консоль KVM, гіпервізор або хмарна консоль, VLAN керування, доступна з хоста, який не знаходиться за тунелем, другий модем WAN або LTE із власним адміністративним правилом або особа на місці.

Перевірте обраний шлях, поки роутер справний. Увійдіть через нього, відкрийте сторінку VPN і зупиніться перед збереженням. Якщо правило блокування дозволяє лише досягти інформаційної панелі, у вас ще є час, щоб це виправити, і виправлення має бути вище правила заборони в порядку правил.

Більшість маршрутизаторів прив’язують службу адміністратора до інтерфейсу або сімейства адрес, тому позасмуговий маршрут має надходити туди, де ця служба прослуховує. Розширення прив’язки для вікна дійсно працює, але це саме по собі змінює шлях, від якого ви залежите.

Експортуйте файл і запишіть тригер

Перемістіть експорт з маршрутизатора та машини, яка може втратити тунель. Резервна копія, що зберігається у файловій системі маршрутизатора, зникає саме тоді, коли ви плануєте вийти з ладу, а якщо сидіти на ноутбуці, який ось-ось втратить з’єднання, це трохи краще.

Розглядайте цей файл як облікові дані. Він містить приватні ключі, попередньо надані секрети, матеріали сертифікатів і хеші паролів, тому шифруйте його або зберігайте з такою ж ретельністю, як і логін маршрутизатора.

Потім напишіть одне речення: якщо я не можу відкрити новий сеанс керування з PATH протягом N хвилин після зміни, я відновлю ФАЙЛ і перезавантажуся. Речення примусово зменшує область до однієї змінної. Внесені разом зміни маршруту, DNS і брандмауера швидко зберігаються та повільно діляться навпіл, коли ви отримуєте ще одну спробу.

Використовуйте таймер фіксації, якщо платформа його має

Деякі платформи скасують зміну, якщо ви не підтвердите її. Безпечний режим RouterOS, увімкнений за допомогою Ctrl+X у терміналі, скасовує зміни, внесені під час цього сеансу, коли сеанс припиняється. Junos відкочує підтверджену непідтверджену фіксацію. Пари Cisco IOS перезавантажуються зі скасуванням перезавантаження. Корпоративні брандмауери зазвичай ініціюють незавершені зміни за допомогою таймера автоматичного повернення. OpenWrt і більшість споживчих прошивок не мають нічого еквівалентного, тому таймер має бути зовнішнім: заплановане відновлення, завдання cron, яке повертає файл назад і перезапускає службу, або перезавантаження до попередньої конфігурації.

Не припускайте, що функція з аналогічною назвою охоплює той самий обсяг. Автоматичне повернення одного продукту може охоплювати лише правила брандмауера; інший може охоплювати всю конфігурацію, включаючи правило керування, яке ви щойно змінили, щоб залишатися доступними. Прочитайте, що повертає таймер, перш ніж покладатися на нього.

Таймер не замінить експортований файл. Це не вдається у випадку, який має тут найбільше значення: сеанс зберігається, площина керування – ні, і ніщо ніколи не запускає повернення.

Перевірте нове з’єднання, а не відкрите

Встановлений сеанс часто продовжує працювати через зміни, які блокують кожне нове рукостискання, оскільки його стан уже існує, а політика оцінюється під час створення з’єднання. Після зміни створіть нові підключення з віддаленої сторони: новий сеанс SSH, нове рукостискання VPN від клієнта, звичайне завантаження сторінки на адресу локальної мережі маршрутизатора.

# run these from the remote machine, in a new shell
ssh -o ConnectTimeout=8 admin@"$ROUTER_WAN"
nc -vz "$ROUTER_WAN" 443
dig +short example.internal "@$ROUTER_LAN"

Потім протестуйте нижню частину тунелю, а не сам тунель: розпізнавання імен, TCP-з’єднання з внутрішньою службою та програму, якою ви фактично користуєтеся. Тунель, який встановлює, але не передає придатний для використання DNS, виглядає справним у статусі клієнта та зламаним у веб-переглядачі, і ця різниця вирішує, відновлювати файл чи виправляти одне правило.

Повторіть після примусового відключення та повторного підключення та ще раз після перезавантаження, якщо платформа повторно застосовує стан під час завантаження. Деякі конфігурації проходять усі тести в реальному часі та зазнають невдачі під час першого завантаження з новими правилами.

Зачиніть двері, які ви відкрили для вікна

Видаліть тимчасове правило адміністратора будь-якого джерела, одноразовий обліковий запис, розширене прив’язування, дозвільне правило DNS і журнал налагодження. Це видалення саме по собі є зміною шляху, від якого ви залежите, тому повторно запустіть тест нового підключення після нього з віддаленої сторони.

Зберігайте експортований файл, доки зміна не переживе перезавантаження та повторне підключення реального клієнта, а потім поверніть усе, до чого ви надали спільний доступ, коли вікно було відкрито. Конфігурація, яка працює до наступного завантаження, є тихим способом втратити маршрутизатор через тиждень, коли ніхто не пам’ятає, яке правило було тимчасовим.

Запишіть зміну, куди дивиться наступна особа: що переміщено, який файл скасовує її, який шлях досягає консолі та яке правило було тимчасовим.

Перш ніж відкрити сторінку VPN, мають існувати чотири речі: перевірений вами потік відновлення, підтверджений другий шлях, експортований файл, до якого ви можете отримати доступ, і записаний тригер. Якщо якогось бракує, спочатку виправте це. Зміна може чекати годину; блокування не може.