什么是最好的故障安全备份选项访问防火墙的情况下，networking变得无法访问？

假设一个具有独立configuration的集群防火墙是不可能或不可取的，我将设置一个低功耗主机作为辅助冗余防火墙 （但没有实时stream量）。

注意：我没有把这个叫做后门，或者build议设置一个。 防火墙的后门尖叫着危险。 问这个问题的一个更好的方法是，什么是安全的，在发生错误configuration的情况下访问防火墙的回退计划。

在那个主机上，我会：

• 将其连接到互联网和内部networking（或DMZnetworking），确保它不通过主防火墙
  • 如果您有使用静态IP的辅助调制解调器，则可以使用该互联网连接
• 它必须被configuration为与主防火墙一样安全（甚至更安全）。 例如：
  • 使用更新的，强化的Linux发行版
  • 只有一个监听服务：SSH
  • 只接受非root用户的SSH密钥对authentication（如果您以后必须使用sudo）
  • 限制什么networking可以访问该主机（例如，如果你的办公室有一个静态子网）
  • 你甚至可以使用非标准的端口号为SSH或端口敲打（可能是过度杀伤，但混淆不是安全）的东西更奇特和混淆主机，

一旦通过SSHlogin，您应该能够在您的内部networking中的任何地方使用SSH或SSH隧道。

这仍然不是100％的certificate，因为有一些罕见的情况将会失败。 例如，如果您的ISP弄虚作出自己的networkingconfiguration（除非您有一个辅助调制解调器/ ISP）。

使用控制台服务器和任何连接，你可以进入网站（3G / DSL /电话线）连接到它。 有些已经集成了VPNfunction。

有很多制造商，所以你可以花费很多，或select一个适合你的预算 。

那么即使防火墙在没有networkingfunction的升级失败后卡在ROM中，您仍然可以远程访问它。

这是一个较旧的解决scheme，但仍然有效。 方法和协议简单而坚实。

1. 在Datacenter上远程操作。 您需要指示数据中心的人员插入一些电缆。 如果没有遥控手，您可以修改下面的其他项目。
2. 一部电话（无论如何，在数据中心都有固定电话是很有用的，除非数以千计的电脑爱好者围绕在手机的音质上）。
3. 一个56K调制解调器 – 确保所有的电缆都准备好了，并且清楚地标记出去。 假设数据中心技术可能分散注意力，缺乏经验或无能，或者真的在凌晨3点真的很疲惫 – 希望最好，计划最差。 保持调制解调器closures电源，并保持电缆断开，以防止调制解调器意外开机。 如果某些wardialer发现调制解调器，您不希望调制解调器可用。
4. 连接到最重要系统（包括防火墙）的串行控制台服务器。 一些站点定期使用串行控制台，因此经过了充分testing。

当你需要的时候，打电话给数据中心，让他们插入调制解调器并开机。 然后拨入，连接到防火墙，并解决问题。