Cách lập kế hoạch khôi phục VPN bộ định tuyến trước khi thay đổi từ xa

Bạn sắp chỉnh sửa đường hầm chứa phiên của riêng bạn, do đó công việc giúp bạn tiết kiệm sẽ diễn ra trước khi thay đổi chứ không phải trong quá trình tranh giành sau đó. Mạng an toàn không có trên trang VPN: đó là màn hình khôi phục, bảng điều khiển hoặc đường dẫn thứ hai không chạy qua thiết bị bạn đang chỉnh sửa. Tôi lập kế hoạch cho cả ba trên cùng một giao diện bộ định tuyến mà tôi sắp chỉnh sửa và tôi sử dụng đường dẫn một lần trong khi mọi thứ vẫn hoạt động. Đây là hướng dẫn tôi làm theo, theo thứ tự.

Thực hiện quy trình khôi phục trước khi bạn cần

Mở trang sẽ hoàn tác thay đổi của bạn. Trên pfSense đó là Chẩn đoán > Sao lưu & Khôi phục; trên OpenWrt đó là Hệ thống > Sao lưu / Flash Firmware; trên OPNsense, đó là Hệ thống > Cấu hình > Sao lưu, cũng giữ các bản sửa đổi trước đó mà bạn có thể hoàn nguyên mà không cần tệp. Bạn chưa khôi phục lại bất cứ điều gì. Bạn đang kiểm tra xem trang đó có mở theo đường dẫn bạn sẽ có trong quá trình thay đổi hay không, liệu trang đó có muốn khởi động lại sau đó hay không và liệu nó có từ chối kho lưu trữ được ghi bởi một bản phát hành chương trình cơ sở khác hay không. Netgate ghi lại luồng xuất và khôi phục của chính nó tại docs.netgate.com.

Việc khôi phục sẽ hoán đổi toàn bộ cấu hình, do đó, đây không phải là thao tác hoàn tác đối với một quy tắc. Kho lưu trữ chứa người dùng, chứng chỉ, khóa VPN, quy tắc tường lửa và cài đặt giao diện quản trị viên quyết định ai có thể đăng nhập. Đó là lý do tại sao tôi xuất ngay trước khi thay đổi và đặt tên tệp cùng với ngày và cài đặt duy nhất mà tôi định chạm vào. Việc khôi phục tệp cách đây một tháng cũng khôi phục đường hầm một tháng và khóa cách đây một tháng.

Nếu nền tảng chỉ tải các bản lưu trữ từ cùng một bản phát hành, hãy lưu ý ngay bây giờ: nâng cấp chương trình cơ sở cộng với chỉnh sửa VPN trong một cửa sổ khiến bạn phải giữ một tệp mà bộ định tuyến sẽ không chấp nhận.

Chứng minh một cách đi qua đường hầm

Phiên SSH thứ hai từ cùng một máy tính xách tay đến cùng một địa chỉ công cộng không phải là đường dẫn thứ hai; cả hai cùng chết. Đường dẫn độc lập là một trong những đường dẫn sau: bảng điều khiển nối tiếp hoặc KVM, bảng điều khiển ảo hóa hoặc bảng điều khiển đám mây, Vlan quản lý có thể truy cập từ máy chủ không nằm phía sau đường hầm, modem WAN hoặc LTE thứ hai với quy tắc quản trị riêng hoặc một người tại chỗ.

Kiểm tra đường dẫn đã chọn trong khi bộ định tuyến vẫn hoạt động tốt. Đăng nhập vào đó, mở trang VPN và dừng lại trước khi lưu. Nếu quy tắc khóa chỉ cho phép nó tiếp cận trang tổng quan, bạn vẫn có thời gian để khắc phục điều đó và việc chỉnh sửa phải nằm phía trên quy tắc từ chối theo thứ tự quy tắc.

Hầu hết các bộ định tuyến liên kết dịch vụ quản trị với một giao diện hoặc họ địa chỉ, do đó, một tuyến ngoài băng tần phải đến nơi dịch vụ đó lắng nghe. Việc mở rộng ràng buộc cho cửa sổ có tác dụng nhưng bản thân nó là một sự thay đổi đối với đường dẫn mà bạn phụ thuộc vào.

Xuất tệp và viết trình kích hoạt

Di chuyển quá trình xuất ra khỏi bộ định tuyến và máy có thể bị mất đường hầm. Một bản sao lưu được lưu trữ trên hệ thống tập tin bộ định tuyến sẽ biến mất theo đúng lỗi mà bạn dự định gặp phải và một bản sao lưu đang ngồi trên máy tính xách tay sắp mất kết nối thì cũng không tốt hơn chút nào.

Hãy coi tập tin đó như một thông tin xác thực. Nó chứa các khóa riêng, bí mật được chia sẻ trước, tài liệu chứng chỉ và băm mật khẩu, vì vậy hãy mã hóa hoặc lưu trữ nó một cách cẩn thận như khi đăng nhập vào bộ định tuyến.

Sau đó viết một câu: nếu tôi không thể mở phiên quản lý mới từ PATH trong vòng N phút kể từ khi thay đổi, tôi sẽ khôi phục FILE và khởi động lại. Câu buộc phạm vi xuống một biến. Các chỉnh sửa tuyến đường, DNS và tường lửa được cam kết cùng nhau sẽ nhanh chóng được lưu và chậm chia đôi khi bạn thực hiện thêm một lần thử.

Sử dụng bộ đếm thời gian cam kết trong đó nền tảng có một bộ đếm thời gian cam kết

Một số nền tảng sẽ hoàn tác thay đổi cho bạn nếu bạn không xác nhận nó. Chế độ an toàn của RouterOS, được nhập bằng Ctrl+X trong thiết bị đầu cuối, hoàn nguyên các thay đổi được thực hiện trong phiên đó khi phiên ngừng hoạt động. Junos khôi phục một cam kết chưa được xác nhận đã được xác nhận. Các cặp Cisco IOS tải lại và hủy tải lại. Tường lửa doanh nghiệp thường xử lý các thay đổi đang chờ xử lý bằng bộ hẹn giờ tự động hoàn nguyên. OpenWrt và hầu hết chương trình cơ sở dành cho người tiêu dùng không có gì tương đương, do đó, bộ hẹn giờ phải ở bên ngoài: khôi phục theo lịch trình, công việc định kỳ hoán đổi tệp trở lại và khởi động lại dịch vụ hoặc khởi động lại vào cấu hình trước đó.

Đừng cho rằng một đối tượng địa lý có tên tương tự sẽ có cùng phạm vi. Tính năng tự động hoàn nguyên của một sản phẩm có thể chỉ bao gồm các quy tắc tường lửa; một cấu hình khác có thể bao gồm toàn bộ cấu hình, bao gồm cả quy tắc quản lý mà bạn vừa thay đổi để luôn có thể truy cập được. Đọc những gì bộ đếm thời gian hoàn nguyên trước khi bạn dựa vào nó.

Bộ hẹn giờ không thể thay thế cho tệp đã xuất. Nó thất bại trong trường hợp quan trọng nhất ở đây: phiên vẫn tồn tại, mặt phẳng quản lý thì không và không có gì kích hoạt hoàn nguyên.

Kiểm tra kết nối hoàn toàn mới, không phải kết nối mở

Một phiên đã thiết lập thường tiếp tục hoạt động thông qua các thay đổi chặn mọi lần bắt tay mới, vì trạng thái của nó đã tồn tại và chính sách được đánh giá khi kết nối được tạo. Sau khi thay đổi, hãy tạo các kết nối mới từ phía xa: phiên SSH mới, bắt tay VPN mới từ máy khách, tải trang bình thường tới địa chỉ mạng LAN của bộ định tuyến.

# run these from the remote machine, in a new shell
ssh -o ConnectTimeout=8 admin@"$ROUTER_WAN"
nc -vz "$ROUTER_WAN" 443
dig +short example.internal "@$ROUTER_LAN"

Sau đó kiểm tra phần cuối của đường hầm chứ không phải chính đường hầm: độ phân giải tên, kết nối TCP với dịch vụ nội bộ và ứng dụng bạn thực sự sử dụng. Một đường hầm được thiết lập nhưng không cung cấp DNS có thể sử dụng được trông vẫn ổn ở trạng thái máy khách và bị hỏng trong trình duyệt, đồng thời sự khác biệt đó quyết định xem bạn có khôi phục tệp hay sửa một quy tắc hay không.

Lặp lại sau khi buộc phải ngắt kết nối và kết nối lại, cũng như lặp lại một lần nữa sau khi khởi động lại nếu nền tảng áp dụng lại trạng thái khi khởi động. Một số cấu hình vượt qua mọi thử nghiệm trực tiếp và không thành công trong lần khởi động đầu tiên với các quy tắc mới được áp dụng.

Đóng các cánh cửa bạn đã mở cho cửa sổ

Xóa quy tắc quản trị nguồn bất kỳ tạm thời, tài khoản dùng một lần, liên kết mở rộng, quy tắc DNS cho phép và ghi nhật ký gỡ lỗi. Bản thân việc loại bỏ đó là một sự thay đổi trên đường dẫn mà bạn phụ thuộc vào, vì vậy hãy chạy lại quá trình kiểm tra kết nối mới sau đó, từ phía xa.

Giữ tệp đã xuất cho đến khi thay đổi vẫn tồn tại sau khi khởi động lại và máy khách thực sự kết nối lại, sau đó xoay mọi thứ bạn đã chia sẻ khi cửa sổ đang mở. Cấu hình hoạt động cho đến lần khởi động tiếp theo là cách âm thầm để mất bộ định tuyến một tuần sau đó, khi không ai nhớ quy tắc nào là tạm thời.

Viết thay đổi xuống nơi người tiếp theo nhìn thấy: nội dung đã di chuyển, tệp nào hoàn tác, đường dẫn nào đến bảng điều khiển và quy tắc nào là tạm thời.

Trước khi bạn mở trang VPN, phải tồn tại bốn thứ: luồng khôi phục bạn đã kiểm tra, đường dẫn thứ hai bạn đã chứng minh, tệp đã xuất mà bạn thực sự có thể truy cập và trình kích hoạt bằng văn bản. Nếu thiếu cái nào thì sửa cái đó trước. Sự thay đổi có thể đợi một giờ; một khóa không thể.