VPN server konfiguratsiyasini xavfsiz tarzda qanday qaytarish kerak

Serverni qaytarish qaysi qatlam ishlamay qolgani haqidagi qaror, fayllarni nusxalash mashqi emas. Konfiguratsiya, hisob ma'lumotlari va paket versiyalari alohida soatlarda harakatlanadi va bittasini tiklab, qolganlari yangi bo'lib qolsa, sog'lom ko'rinadigan, ammo izchil bo'lmagan xulq-atvorga ega xost paydo bo'ladi. Quyidagi ketma-ketlik o'zgarish allaqachon noto'g'ri ketganini nazarda tutadi va eng kichik izchil holatni tiklashni so'raydi. Uni tartib bilan bajaring va tarmoqdan tashqari kirish tekshiruvini hech kim o'tkazib yubormasligi kerak bo'lgan qadam deb biling.

Haqiqatan tiklashingiz mumkin bo'lgan nazorat nuqtasini oling

Xizmat ishga tushganda o'qiydigan konfiguratsiyani, uni oxirgi marta tahlil qilgan versiya bilan birga yozib qo'ying. Eski nashrda toza yuklangan fayl yangilanishdan keyin rad etilishi yoki indamay e'tiborsiz qoldirilishi mumkin, shuning uchun versiya o'sha eslatmaga tegishli. Konfiguratsiya ishora qiladigan materialni ham qo'shing: shaxsiy kalitlar, sertifikat yo'llari, tinglovchi ta'riflari va xizmatni yetib borishli qiladigan DNS va tarmoq devori yozuvlari. Agar tiklanish uchun siz saqlamagan fayl kerak bo'lsa, nazorat nuqtasi to'liq emas.

Tizim hali sog'lom bo'lganda har bir sozlamaning egasini nomlang. Provayder paneli o'rnatgan marshrut, xost tarmoq devori qo'shgan marshrut va mijozlarga yuborilgan marshrut uch xil obyekt, va noto'g'risini tiklash qolgan ikkitasini joyida qoldiradi. Sozlama, egasi va fayl yo'li ko'rsatilgan qisqa jadval yetarli.

Bekor qilishlarni konfiguratsiyadan alohida saqlang

Eski konfiguratsiya siz ataylab olib tashlagan qurilmani indamay qayta ulashi mumkin, bu tiklanishni xavfsizlik orqaga qadamiga aylantiradi. Tarmoq siyosatini tiklayotganda joriy bekor qilish ro'yxati va o'chirilgan hisoblarni saqlab qoling, so'ngra xizmat mijozlarni qabul qilishdan oldin ularni qayta qo'llang.

Shaxs holatini o'z dalillariga ega alohida qaytarish deb qarang. Sertifikatlarni bekor qilish fayllari, hisobni o'chirish va MFA ro'yxatdan o'tkazish kamdan-kam daemon konfiguratsiyasi bilan bir joyda bo'ladi, va konfiguratsiyani tiklash ularga tegmaydi. Avval joriy holatni tekshiring, nima saqlanib qolishi kerakligini bilish uchun. Tiklashdan keyin olib tashlangan shaxs hali ham ulana olmasligini tasdiqlang.

Tunnel ishlamay qolganda xostga yetib boring

O'zgartirilayotgan komponentga bog'liq bo'lmagan yo'l oching. Gipervizor konsoli, alohida interfeysdagi boshqaruv manzili yoki ketma-ket konsol hammasi mos; tunnel orqali olib o'tiladigan SSH sessiyasi mos emas. Agar yagona kirish yo'li qayta ishga tushirmoqchi bo'lgan VPN bo'lsa, noto'g'ri marshrut yoki tarmoq devori qoidasi uni tuzatish imkoniyatini tortib oladi. Muqobil yo'lni o'zgarishdan oldin sinab ko'ring, keyin emas. U orqali bir marta kiring, sudo ishlashini tasdiqlang va ishlatgan aniq manzilni yozib qo'ying.

Sinov oddiy: muqobil yo'l orqali ulangan holda tunneldan tushing va sessiya omon qoladimi-yo'qmi ko'ring. Agar uzilsa, u sizni tuzoqqa solishidan oldin nosozlikni topdingiz.

Bitta reviziyani qo'llang va u qachon kuchga kirishini biling

Xizmatning reload yoki restart hujjatlaridan foydalanib, qaysi direktivalar qaysi paytda o'qilishini aniqlang. Ba'zi qiymatlar reload paytida amal qiladi, boshqalari faqat yangi sessiya yoki jarayon boshlanganda, shuning uchun faylni tahrirlash ishlab turgan holat haqida hech narsani isbotlamaydi. Yangi faylni eski ishlash holati bilan aralashtirish o'rniga bitta reviziyani tiklang. Shubha bo'lsa, xizmatni to'liq qayta ishga tushirish qisman reloaddan osonroq asoslanadi.

Tanlashdan oldin birlik ta'rifini tekshiring: systemctl show -p ExecReload openvpn@server reload ilgagi umuman bor-yo'qligini aytadi. Keyin reviziyani qo'llang va boshqa narsani o'zgartirishdan oldin jurnalda birinchi yangi xatolarni o'qing.

Tekshiring, yozib qo'ying va keyin o'rganing

Bitta ruxsat etilgan mijozni ulang va xizmat nima uchun ekanini sinab ko'ring: nomlarni hal qilish, qayta ulanish va ishlamay qolgan ilova. Bekor qilingan shaxs hali ham rad etilishini tasdiqlang. Tikalgan reviziyani, vaqtni va sababni yozib qo'ying, chunki keyingi operator uchtasiga ham muhtoj bo'ladi. Hech kim hujjatlashtirmagan qaytarish xizmat keyingi safar yomon ishlaganda jumboqqa aylanadi.

systemctl status openvpn@server --no-pager
journalctl -u openvpn@server -n 50 --no-pager

Xizmat barqaror bo'lgach, muvaffaqiyatsiz o'zgarishni tashlab yuborishingiz mumkin bo'lgan xost yoki suratda qayta hosil qiling. Bu yomon konfiguratsiyani yomon paketdan yoki muddati o'tgan sertifikatdan ajratadi. Tikalgan konfiguratsiyani versiya nazorati ostida saqlang, keyingi nazorat nuqtasi ma'lum commitdan boshlansin. Mashqning maqsadi hujjatlashtirilgan yakuniy nuqta, doimiy pasaytirish emas.