VPN serveringizdan tashqarida qulflandingiz: ichkariga ikkinchi yo’lni saqlang
Buzilgan tunnel serverni tuzatish qobiliyatingizni ham olib qo’ymasligi kerak. Muhtoj bo’lishingizdan oldin mustaqil ma’muriy yo’lni rejalashtiring, sinab ko’ring va ko’rib chiqing.
Konsolni ochasiz, bitta tarmoq devori qoidasini o’zgartirasiz va ulangan tunnelingiz yo’qoladi. O’zgarish to’g’ri edi, qayta yuklash emas, endi mashinaga qaytishning yagona yo’li siz hozir sindirgan yo’l. Ichkariga ikkinchi yo’l bu dizayn qarori va u uzilishdan oldin mavjud bo’lishi kerak, uning davomida emas.
Hali qo’lingizda bor narsalarni ko’rib chiqing
Oldingizdagi konsol ekranidan boshlang va tunnelga bog’liq bo’lmagan yo’llarni sanab chiqing. Provayderning ketma-ket yoki VNC sessiyali veb-konsoli bittasi. Alohida tarmoqdagi boshqaruv interfeysi boshqasi. Jismoniy kirish uchinchisi va odamlar uning yo’qligini eng yomon paytda bilib oladi.
| Path | Depends on | Usually fails when |
|---|---|---|
| Provider console | Account access and the provider's own API | Credentials live in a wiki only reachable over the tunnel |
| Management subnet | A second interface and its own routing | The bad change was a global route or firewall policy |
| Second tunnel | A different listener, port and credentials | Both listeners were changed in the same edit |
| Physical or local console | Being in the building | Nobody has been in the building for a year |
Uchinchi ustunni mavhumlik emas, nosozliklar ro’yxati sifatida o’qing. O’sha yo’llardan ikkitasi odatda bir sababdan ishlamay qoladi. Jadval uzilish sizga tushuntirishidan oldin buni sezish usulidir.
Mustaqillik bu bog’liqliklar masalasi
Tiklash hisobi mustaqil emas, agar uning paroli tunnel orqali yetib boradigan xizmatda saqlansa. Xuddi shu xostda, xuddi shu portda va xuddi shu tarmoq devori siyosatidagi ikkinchi VPN ham mustaqil emas, chunki birinchisini sindirgan o’zgarish ikkalasini ham sindiradi.
Zanjir bo’ylab pastga tushing va har bir qadam nimani talab qilishini nomlang. Tarmoq yetib borishi, nomlarni hal qilish, autentifikatsiya manbasi va boshqaruv xizmatining o’zi to’rtta alohida bog’liqlik, va ularning birortasini bo’lishadigan yo’l o’sha nosozlikni meros oladi.
Hech qachon sinab ko’rilmagan yo’l o’z shakkiga loyiq. Oylab ochilmagan konsol elektron pochta orqali parolni tiklashni talab qilishi mumkin va o’sha pochta qutisi siz yetib bora olmaydigan mashinada joylashgan bo’lishi mumkin. Hamma narsa ishlab turganda yo’lni sinab ko’ring va buni osoyishta tushdan keyin topasiz.
Ikkinchi yo’lni bitta nazorat qilinadigan o’zgarish uchun ishlating
Konsoldan surat oling yoki tahrirlamoqchi bo’lgan konfiguratsiyani nusxalang. Bitta narsani o’zgartiring. Xizmatni qayta yuklang va boshqa narsaga tegishdan oldin natijani o’qing, chunki bir vaqtda ikkita o’zgarish tiklashni tajribaga aylantiradi.
Buni qilayotganda tiklash sessiyasini ochiq tuting. Ikkinchi yo’lning butun qiymati uning o’zgartirmoqchi bo’lgan narsangizdan omon qolishidadir, shuning uchun uni birinchi bo’lib yopsangiz uni foydali qilgan yagona xususiyatni olib tashlaysiz.
Xotiradan emas, tiklash yo’lidan tekshiring
Muhim tekshiruv oddiy yo’lning qaytishi, tiklash sessiyasi esa buni tartib bilan tasdiqlaydigan joy:
systemctl status openvpn-server@server --no-pager ss -lntup | grep -E ':(1194|443)\b' nft list ruleset | sed -n '1,40p' journalctl -u openvpn-server@server --since '-10 min' --no-pager | tail -n 30
Avval xizmat holatini, keyin tinglovchini, keyin qoidalarni, keyin jurnalni o’qing. Tinglovchisiz ishlayotgan xizmat xizmat konfiguratsiyasiga ishora qiladi, yetib boriladigan qoidalari yo’q tinglovchi esa filtrlashga ishora qiladi. Tartib muhim, chunki har bir qadam keyinggisini toraytiradi, jurnalga sakrash esa odatda sababni emas, belgini tasvirlovchi xatolarni o’qish demakdir.
systemctl hujjatlari bu yerda ishlatiladigan holat va qayta ishga tushirish xatti-harakatini qamrab oladi, muvaffaqiyatsiz qayta yuklash oldingi jarayonni qanday ishlab turishda qoldirishini ham. Izchil tahrirni tiklash serverni tuzata olmaydigan mijozdan qayta-qayta ulanishdan yaxshiroq. Agar o’zgarishdan oldin belgilangan qaytarish sharti bajarilgan bo’lsa, tiklang va to’xtang.
Inventar ro’yxatini dolzarb tuting
Odamlar yoki infratuzilma o’zgarganda kirish ro’yxatini ko’rib chiqing. Hamma narsa ishlab turganda tiklash yo’lini sinab ko’ring. Oxirgi qayta tashkil etishdan beri hech kim ishlatmagan hisoblarni chiqarib tashlang. Ikkita eskirgan hisob va bitta muddati o’tgan sertifikat seshanba kuni kichik tozalash va yakshanba kuni uzilishdir.
Har bir yo’ldan kim foydalanishi, u nimaga ruxsat berishi va hisob ma’lumotlari qanday almashtirilishini yozib qo’ying. Egasisiz tiklash yo’li unutilgan kirish joyiga aylanadi, bu esa tashqarida qulflanib qolishdan boshqa turdagi nosozlik.