GCE’da VPN o’zgarishidan oldin ketma-ket tiklash yo’lini tayyorlang

Xuddi shu interfeysdagi ikkinchi SSH oynasi tiklash yo’li emas. U siz o’zgartirmoqchi bo’lgan yo’lni, firewall qoidasini va demonni baham ko’radi, shuning uchun u sizga kerak bo’lgan aynan shu daqiqada ishlamay qoladi. Compute Engine VM’ida VPN yo’llarini tahrirlashdan oldin uchta alohida narsani isbotlang: ketma-ket konsoldan foydalana olishingizni, uning chiqishini o’qiy olishingizni va mehmon sizga haqiqatan ham kirish berishini. Quyidagi tekshiruvlar shu tartibda, eng arzonidan boshlanadi, shuning uchun yetishmayotgan ruxsat muhim bo’lishidan oldin aniqlanadi.

1-qadam: bulut tomonidagi ruxsatni tasdiqlang

Aniq VM, loyiha va zonani ayting, so’ngra tashkilot tasdiqlagan ketma-ket kirish siyosatini tekshiring. Administratorga tegishli ruxsat kerak, interaktiv ketma-ket kirish esa amaldagi loyiha va tashkilot nazorati ostida o’sha instans uchun yoqilgan bo’lishi kerak.

Bitta mashinani tayyorlash uchun tashkilot siyosatini zaiflashtirmang yoki butun loyiha bo’ylab konsol kirishini yoqmang. Egadan ruxsat etilgan mexanizmni tajribadan oldin tashkil qilishni so’rang, uzilish paytida emas.

2-qadam: chiqishni o’qiy olishingizni isbotlang

Ketma-ket chiqishni o’qish eng arzon tekshiruv bo’lib, mehmon kirishiga tegmasdan transportni mashq qildiradi:

gcloud compute instances get-serial-port-output VM_NAME \
    --project PROJECT_ID --zone ZONE --port 1

Identifikatorlarni almashtiring va ruxsat etilgan portdan foydalaning. Yuklash xabarlari va konsol suhbati kanal ishlayotganini bildiradi. Ular shell olishingizni isbotlamaydi. Shuning uchun bu qadam keyingisidan alohida.

3-qadam: interaktiv kirish olishingizni isbotlang

Ulanish buyrug’i oldindan ko’rishni emas, haqiqiy sessiyani ochadi:

gcloud compute connect-to-serial-port VM_NAME \
    --project PROJECT_ID --zone ZONE --port 1

Unga jonli konsol sifatida munosabatda bo’ling. Hisob ma’lumotlarini yozishdan oldin oxirgi nuqtani tasdiqlang, chunki har bir tugma bosishi instansga tushadi.

To’liq ko’ringan reja aynan shu yerda parchalanadi. Bulut ruxsati bir chegara, Linux kirish so’rovi esa boshqasi, va birinchidan o’tish ikkinchisi haqida hech narsa demaydi.

4-qadam: mehmon qabul qiladigan hisob ma’lumotlarini tayyorlang

Google taqdim etgan Linux obrazlari sukut bo’yicha mahalliy parolga asoslangan kirishni yoqmaydi. Shuning uchun ketma-ket sessiya kirish so’roviga yetib, o’sha yerda to’xtab, hech kim o’rnatmagan hisob ma’lumotini kutishi mumkin.

Tasdiqlangan tiklash hisobi yoki sizning joylashtirishingiz ishlatadigan har qanday hujjatlashtirilgan mehmon kirish usuli mavjud bo’lishi va sinovdan o’tishi kerak. Tarmoq orqali ishlaydigan SSH kaliti konsol parol so’rovini avtomatik qondirmaydi, shuning uchun bu holatni qamrab oladi deb taxmin qilish o’rniga haqiqiy OS Login va kalitlar tartibini tekshiring.

Tiklash hisob ma’lumotlarini maxfiy saqlang. Ommaviy startup-script misoliga yopishtirilgan root paroli sodir bo’lishini kutayotgan ikkinchi hodisa.

5-qadam: egasi va qaytarishni yozib qo’ying

Biror narsani o’zgartirishdan oldin ishlayotgan tarmoq konfiguratsiyasini saqlang va uni kim boshqarishini, qaysi VPN xizmati ishtirok etishini va qaytarish qanday amalga oshirilishini yozing. Ishlayotgan sessiyadan joriy yo’llar, qoidalar va xizmat holatini yozib oling.

Aynan shu yozuv tiklash kanalini ta’mirga aylantiradi, chunki konsol sizga faqat so’rov beradi. Uni o’zgarishdan oldin yozing, keyin xotiradan emas. Vikidan ko’chirilgan qaytarish qaytarish emas. Bu versiya raqamiga ega taxmin.

6-qadam: o’zgarishdan keyin tekshiring

Mavjud SSH sessiyasi yangilarini bloklaydigan siyosatdan omon qolishi mumkin, shuning uchun yangi oddiy ma’muriy sessiya bilan sinab ko’ring. So’ngra o’zgartirgan VPN xatti-harakatini alohida sinab ko’ring.

Ikkala tekshiruv ham o’tmaguncha tiklash kanalini ochiq tuting, so’ngra kirish siyosatiga muvofiq yoping. Agar SSH allaqachon yo’qolgan bo’lsa va konsol kirishi tayyorlanmagan bo’lsa, ketma-ket kirishni xavfsizlik to’ri deb hisoblashni to’xtating va ruxsat etilgan hisobni tiklash yoki instansni ta’mirlash ish oqimini boshlang. Boshqa VM’ni jump host sifatida ko’tarish mehmon yo’lini ham, yetishmayotgan hisob ma’lumotlarini ham tuzatmaydi.