Qarovsiz VPN server yangilanishlari sinalgan tiklash yo’lini talab qiladi
Yangilanish serverga yetib borish uchun ishlatadigan xizmatning o’zini qayta ishga tushirishi mumkin. Avtomatlashtirishdan oldin tashqi konsolni faqat tunnel orqali tiklash rejasi bilan solishtiring.
Qarovsiz yangilanishlar o’z VPN’i orqali yetib boradigan server uchun oqilona siyosat, va ayni paytda ular o’zingiz yaratgan yagona nosozlik nuqtasidir. Paket amali xizmatni qayta ishga tushiradi, tunnel uziladi va siz ishlatgan ma’muriy yo’l u bilan birga yo’qoladi. Tiklashning ikki modeli bor, va ular orasidagi tanlov bitta shartga bog’liq: yangilanayotgan narsadan o’tmaydigan kirish yo’lingiz bormi.
Ikki tiklash modeli, bitta hal qiluvchi shart
Birinchi model yangilanishga ishonadi va keyin qayta ulanishingiz mumkin deb hisoblaydi. Bu VPN xostga yetib borishning bir necha usullaridan biri bo’lganda va tunnel nosozligi uni tashxislash qobiliyatingizni olib tashlamaganda ishlaydi. Ikkinchi model oldindan mustaqil yo’lni, odatda hosting provayderining konsolini joylashtiradi va tunnelni texnik xizmat eng ko’p buzadigan narsa deb qaraydi. Ikkala model ham himoyalanadigan, va faqat bittasi oldindan ish talab qiladi.
Hal qiluvchi shartni aytish oson va uni o’tkazib yuborish ham oson. Agar mashinaga boradigan har bir ma’muriy yo’l yangilanayotgan xizmatdan o’tsa, sizda tiklash modeli umuman yo’q, faqat kutish bor. Buni o’zgarish ko’rib chiqishida baland ovozda ayting.
Bu shartni sinash o’n daqiqa oladi va u birinchi qarovsiz yangilanishdan oldin bo’lishi kerak, voqea paytida emas. Hamma narsa ishlayotganda konsolni oching, hisob ma’lumotlari amalda ekanini tasdiqlang va uni yana yoping. Konsol siz o’ylagan xostda ochilishini tasdiqlang. So’ngra tungi soat 3 da haqiqatan ishlatadigan kirishingiz hali ham ishlashini tasdiqlang.
Oxirgi qism ko’ringanidan muhimroq. Paroli olti oy oldin almashtirilgan va hech qachon tasdiqlanmagan konsol hisobi tiklash yo’li emas; u shunday yo’lni tasvirlovchi hujjat.
Zahira nusxa nimani tiklamaydi
Konfiguratsiya arxivi fayllar yozuvi, va yangilanish fayllardan ko’proq narsani o’zgartiradi. Paket holati, yadro modullari, yoqilgan birlik havolalari va alohida vosita bilan qo’llanilgan tarmoq qalqoni qoidalari konfiguratsiya jildidan tashqarida yashaydi, va ularni e’tiborsiz qoldiradigan tiklash sozlangan ko’rinadigan, lekin uzatmaydigan mashina hosil qiladi.
| What changed | Restored by a configuration backup | Needs its own action |
|---|---|---|
| Service unit or startup ordering | Partly, if the unit file was included | Package state and enabled links |
| Kernel module or interface support | No | Kernel or module rollback, or a boot-time decision |
| Peer or device authorization | Only if the backup predates the revocation | A deliberate decision about which peers return |
| Firewall rules applied outside the config | Only if they were captured | Replaying and verifying each rule |
Avtorizatsiya o’z satriga loyiq. Buzilgan qurilma olib tashlanishidan oldin olingan nusxa o’sha qurilmaning kirishini mamnuniyat bilan tiklaydi. Uzilish paytida unga qaytish bitta voqeani ikkiga aylantirish yo’li, va tiklash qarori hamkasblar haqida ham fayllar haqida qanchalik aniq bo’lsa, shunchalik aniq qabul qilinishi kerak.
Orqaga qaytarish mexanizmi ham muhim. Eski bajariladigan faylni paket boshqaradigan fayl ustiga ko’chirish paket o’zgarishining qo’llab-quvvatlanadigan qaytarilishi emas, va u paket ma’lumotlar bazasini fayl tizimiga mos kelmaydigan holatni tasvirlashda qoldiradi. Paket menejerining o’z versiyani pasaytirish yo’lini yoki provayder taklif qiladigan suratni ishlating. Paket ma’lumotlar bazasi qayd etadigan pasaytirishni takrorlashingiz mumkin.
Bularning hech biri zahira nusxalarga qarshi emas. Bu har bir artefakt qaysi qatlamni qoplashini bilish tarafida, chunki qisman tiklashning nosozlik usuli dastlabki uzilishdan ko’ra chalkashtiruvchiroq. Runbook’da har bir nusxa yoniga qatlamni yozing.
Tekshirish nuqtasi, yangilanish, so’ngra tashqaridan tekshirish
O’zgarishdan oldingi holatni keyin solishtirish mumkin bo’lgan shaklda qayd eting: o’rnatilgan versiyalar, tegishli xizmat birliklari, tinglayotgan soketlar va joriy hamkasblar ro’yxati. Linux xostda to’rtta buyruq buning ko’p qismini qoplaydi.
systemctl list-units --type=service | grep -E 'openvpn|wg-quick'
ss -lunp | grep -E ':51820|:1194'
journalctl -u wg-quick@wg0 --since '-10 min'Birinchisi qaysi birliklar borligini va ular ishlayotganini ko’rsatadi, ikkinchisi tinglovchi haqiqatan bog’langanini tasdiqlaydi, uchinchisi esa sizga xizmatning so’nggi daqiqalar haqidagi o’z bayonini beradi. Ularning hech biri mijoz ulanishi mumkinligini isbotlamaydi, shuning uchun keyingi qadam xostdan tashqarida bo’ladi. O’sha o’qishlarni solishtirish asosingiz sifatida saqlang.
Tunnel ishlatmaydigan tarmoqdan tekshiring: bitta ruxsat etilgan mijozni autentifikatsiya qiling, nomni hal qiling va bitta mo’ljallangan ilovaga yetib boring. Interfeys yuqorida degan mahalliy holat satri interfeys haqida bayonot, marshrutlash, kalitlar yoki hamkasbni qabul qiluvchi siyosat haqida emas.
So’ngra qayta ulanish yo’lini ataylab sinab ko’ring. Xizmatni bir marta qayta ishga tushiring va tunnel qo’l aralashuvisiz qaytishini tasdiqlang, chunki faqat yuklanishda to’g’ri boshlanadigan xizmat sizni eng yomon paytda hayratga soladi.
U muvaffaqiyatsiz bo’lsa, sinalgan yo’lni ishlating
Tiklash ketma-ketligi dabdabali emas va u ishlaydi: xostga mustaqil yo’l orqali yetib boring, xizmatning o’z jurnallarini o’qing va nosozlikka mos keladigan aniq tekshirish nuqtasini tiklang. Har bir urinishda bitta narsani o’zgartiring, shunda keyingi jurnal o’qishi ma’noga ega bo’ladi.
Aloqani qaytarish uchun bir nechta qayd etilmagan o’zgarishlar qilish istagiga qarshi turing. Bir vaqtda beshta tahrir bilan tuzatilgan mashinani keyin tushuntirib bo’lmaydi, va keyingi yangilanish haqiqatan yuk ko’targan o’zgarishni yana kiritadi.
So’ngra dalillar bilan doimiy siyosatni hal qiling. Agar yangilanish hech kim hujjatlashtirmagan bog’liqlikni ochsa, tuzatish hujjat va sinovdir, yangilanishlarni o’chirish emas. Agar u toza qayta boshlanmaydigan xizmatni ochsa, tuzatish birlikda, jadvalda emas.
Shart nomlangandan so’ng solishtirish toza hal bo’ladi. Mustaqil yo’l qarovsiz yangilanishlarni boshqarish mumkin bo’lgan xavfga aylantiradi. Uning yo’qligi o’sha siyosatni tiklash vaqti noma’lum rejalashtirilgan uzilishga aylantiradi, va hech qanday avtomatlashtirish miqdori bu arifmetikani o’zgartirmaydi.