Masofadan o'zgartirishdan oldin yo'riqnoma VPN-ni qayta tiklashni qanday rejalashtirish kerak

Siz o'zingizning seansingizni olib boradigan tunnelni tahrir qilmoqchisiz, shuning uchun sizni saqlaydigan ish o'zgarishdan oldin sodir bo'ladi, undan keyin skramble paytida emas. Xavfsizlik tarmog'i VPN sahifasida yo'q: bu tiklash ekrani, konsol yoki siz tahrirlayotgan qurilma orqali o'tmaydigan ikkinchi yo'l. Men uchtasini ham tahrir qilmoqchi bo'lgan bir xil router interfeysida rejalashtiraman va hamma narsa ishlayotganda yo'lni bir marta ishlataman. Bu men kuzatib boradigan yo'l, tartibda.

Sizga kerak bo'lgunga qadar tiklash oqimini yuring

O'zgartirishingizni bekor qiladigan sahifani oching. pfSense-da bu Diagnostics > Zaxiralash va tiklash; OpenWrt-da bu tizim > Zaxiralash / Flash proshivka; OPNsense-da bu Tizim > Konfiguratsiya > Zaxira nusxalari bo'lib, u ham faylsiz qaytarishingiz mumkin bo'lgan oldingi versiyalarni saqlaydi. Siz hali hech narsani tiklamayapsiz. Siz ushbu sahifani o'zgartirish paytida paydo bo'ladigan yo'ldan ochiladimi yoki yo'qmi, keyin qayta ishga tushirishni xohlaysizmi va boshqa proshivka versiyasi tomonidan yozilgan arxivni rad etadimi yoki yo'qligini tekshiryapsiz. Netgate o'z eksportini hujjatlashtiradi va oqimni tiklaydi docs.netgate.com.

Qayta tiklash butun konfiguratsiyani almashtiradi, shuning uchun u bitta qoida uchun bekor qilinmaydi. Arxivda foydalanuvchilar, sertifikatlar, VPN kalitlari, xavfsizlik devori qoidalari va tizimga kim kirishi mumkinligini hal qiluvchi administrator interfeysi sozlamalari mavjud. Shuning uchun men o'zgartirishdan oldin darhol eksport qilaman va faylni sana va tegmoqchi bo'lgan yagona sozlama bilan nomlayman. Bir oylik faylni tiklash, shuningdek, bir oylik tunnel va bir oylik kalitni tiklaydi.

Agar platforma faqat bir xil versiyadagi arxivlarni yuklasa, hozir e'tibor bering: mikrodasturni yangilash va bitta oynada VPN tahrirlash yo'riqnoma qabul qilmaydigan faylni ushlab turadi.

Tunneldan o'tish yo'lini isbotlang

Xuddi shu noutbukdan bir xil umumiy manzilga ikkinchi SSH seansi ikkinchi yo'l emas; ikkalasi birga o'ladi. Mustaqil yo'l shulardan biri: ketma-ket yoki KVM konsoli, gipervizor yoki bulutli konsol, tunnel ortida bo'lmagan xostdan kirish mumkin bo'lgan boshqaruv VLAN, o'zining ma'muriy qoidasiga ega ikkinchi WAN yoki LTE modem yoki saytdagi shaxs.

Router sog'lom bo'lganda tanlangan yo'lni sinab ko'ring. U orqali tizimga kiring, VPN sahifasini oching va saqlashdan oldin to'xtating. Agar blokirovka qilish qoidasi faqat asboblar paneliga kirishga imkon bersa, sizda buni tuzatishga hali vaqtingiz bor va tuzatish qoida tartibida rad etish qoidasidan yuqori bo'lishi kerak.

Ko'pgina marshrutizatorlar administrator xizmatini interfeys yoki manzillar oilasiga bog'laydi, shuning uchun tarmoqdan tashqari marshrut ushbu xizmat tinglayotgan joyga etib borishi kerak. Oyna uchun bog'lashni kengaytirish ishlaydi, lekin bu o'zi siz bog'liq bo'lgan yo'lni o'zgartirishdir.

Faylni eksport qiling va triggerni yozing

Eksportni marshrutizatordan va tunnelini yo'qotishi mumkin bo'lgan mashinadan olib tashlang. Router fayl tizimida saqlangan zaxira nusxasi aynan siz rejalashtirgan nosozlikda yo'qoladi va ulanishni yo'qotmoqchi bo'lgan noutbukda o'tirgan kishi zo'rg'a yaxshiroq.

Ushbu faylni hisobga olish ma'lumotlari sifatida ko'rib chiqing. U shaxsiy kalitlarga, oldindan ulashilgan sirlarga, sertifikat materiallariga va parol xeshlariga ega, shuning uchun uni shifrlang yoki marshrutizatorga kirish bilan bir xil ehtiyotkorlik bilan saqlang.

Keyin bitta jumla yozing: agar o'zgarishdan keyin N daqiqa ichida PATH-dan yangi boshqaruv seansini ocha olmasam, FILE-ni tiklayman va qayta ishga tushiraman. Jumla doirani bitta o'zgaruvchiga tushirishga majbur qiladi. Birgalikda amalga oshirilgan marshrut, DNS va xavfsizlik devori tahrirlari tezda saqlanadi va yana bir marta urinib ko'rganingizda ikkiga bo'linadi.

Platformada mavjud bo'lgan taymerdan foydalaning

Agar siz buni tasdiqlay olmasangiz, bir nechta platformalar oʻzgarishlarni bekor qiladi. Terminalda Ctrl+X bilan kiritilgan RouterOS Xavfsiz rejimi, seans to'xtaganida o'sha seansda kiritilgan o'zgarishlarni qaytaradi. Junos tasdiqlanmagan majburiyatni orqaga qaytaradi. Cisco IOS juftlari qayta yuklashni bekor qilish bilan qayta yuklanadi. Korxonaning xavfsizlik devorlari odatda kutilayotgan o'zgarishlarni avtomatik qaytarish taymeridan foydalanadi. OpenWrt va ko'pchilik iste'molchi proshivkalarida ekvivalent hech narsa yo'q, shuning uchun u erda taymer tashqi bo'lishi kerak: rejalashtirilgan tiklash, faylni almashtiradigan va xizmatni qayta ishga tushiradigan cron ishi yoki oldingi konfiguratsiyani qayta ishga tushirish.

Xuddi shunday nomlangan xususiyat bir xil qamrovni qamrab oladi deb o'ylamang. Bitta mahsulotning avtomatik qaytarilishi faqat xavfsizlik devori qoidalarini qamrab olishi mumkin; boshqasi butun konfiguratsiyani qamrab olishi mumkin, shu jumladan o'zingizga kirish uchun siz o'zgartirgan boshqaruv qoidasi. Taymerga ishonishdan oldin nimani qaytarishini o'qing.

Taymer eksport qilingan fayl o'rnini bosa olmaydi. Bu erda eng muhim bo'lgan holatda muvaffaqiyatsiz bo'ladi: seans omon qoladi, boshqaruv tekisligi yo'q va hech narsa hech qachon qaytishni qo'zg'atmaydi.

Ochiq ulanishni emas, balki yangi ulanishni sinab ko'ring

O'rnatilgan seans ko'pincha har bir yangi qo'l siqishni bloklaydigan o'zgarishlar orqali ishlashni davom ettiradi, chunki uning holati allaqachon mavjud va ulanish yaratilganda siyosat baholanadi. O'zgartirishdan so'ng, masofaviy tomondan yangi ulanishlarni yarating: yangi SSH seansi, mijozdan yangi VPN qo'l siqish, yo'riqnoma LAN manziliga oddiy sahifa yuklanishi.

# run these from the remote machine, in a new shell
ssh -o ConnectTimeout=8 admin@"$ROUTER_WAN"
nc -vz "$ROUTER_WAN" 443
dig +short example.internal "@$ROUTER_LAN"

Keyin tunnelning o'zidan ko'ra uning quyi oqimida sinab ko'ring: nom aniqligi, ichki xizmatga TCP ulanishi va siz haqiqatda ishlatadigan dastur. Foydalanish mumkin bo'lmagan DNS-ni o'rnatadigan, ammo tarqatadigan tunnel mijoz holatida sog'lom va brauzerda buzilgan ko'rinadi va bu farq faylni qayta tiklash yoki bitta qoidani tuzatishni hal qiladi.

Majburiy uzilish va qayta ulanishdan keyin va agar platforma yuklash holatini qayta qo'llasa, qayta ishga tushirilgandan so'ng yana bir marta takrorlang. Ba'zi konfiguratsiyalar har bir jonli testdan o'tadi va yangi qoidalar bilan birinchi yuklashda muvaffaqiyatsiz bo'ladi.

Deraza uchun ochgan eshiklarni yoping

Vaqtinchalik istalgan manba administrator qoidasini, tashlab yuborilgan hisob qaydnomasini, kengaytirilgan ulanishni, ruxsat beruvchi DNS qoidasini va disk raskadrovka jurnalini olib tashlang. Bu olib tashlashning o'zi siz bog'liq bo'lgan yo'lda o'zgarishdir, shuning uchun yangi ulanish sinovini undan keyin masofaviy tomondan qayta ishga tushiring.

Eksport qilingan faylni o'zgartirish qayta ishga tushirilgunga qadar va haqiqiy mijoz qayta ulanmaguncha saqlang, so'ngra oyna ochiq bo'lganida baham ko'rgan narsalarni aylantiring. Keyingi yuklashgacha ishlaydigan konfiguratsiya bir hafta o'tgach, hech kim qaysi qoida vaqtinchalik ekanligini eslay olmasa, marshrutizatorni yo'qotishning tinch yo'lidir.

O'zgarishlarni keyingi odam ko'rgan joyiga yozing: nima ko'chirildi, qaysi fayl uni bekor qiladi, qaysi yo'l konsolga etib boradi va qaysi qoida vaqtinchalik edi.

VPN sahifasini ochishdan oldin, to'rt narsa mavjud bo'lishi kerak: siz sinab ko'rgan tiklash oqimi, siz isbotlagan ikkinchi yo'l, haqiqatda kirishingiz mumkin bo'lgan eksport qilingan fayl va yozma tetik. Agar kimdir etishmayotgan bo'lsa, avval uni tuzating. O'zgartirish bir soat kutishi mumkin; qulflash mumkin emas.