Hoe om ’n VPN-bediener te onttrek sonder om toegang agter te laat

Jou kliënt maak steeds verbinding op die dag dat die onttrekkingskaartjie oopgaan. ’n Profiel sit in die app, dit onderhandel, en die tonnel kom op asof niks verander het nie. Dit is die oomblik om in die teenoorgestelde rigting te werk as toe jy die diens gebou het: begin by die kliëntelys, beweeg uitwaarts na die luisteraar, dan na die firewall, en eindig met die geloofsbriewe wat almal oorleef. Om die VM af te skakel is die laaste stap, nie die eerste nie. Hierdie deurloop aanvaar dat jy konsoltoegang tot die gasheer het en die mag het om kliëntrekords en DNS te wysig.

Stap eers deur die kliëntelys

Maak oop wat jou profiele versprei en lees die lys voordat jy aan die bediener raak. Elke inskrywing is ’n toestel wat glo hy het toegang: telefone, skootrekenaars, ’n takroeteerder, ’n houer wat elke nag sinchroniseer. Voer daardie lys in die kaartjie in, want sodra die gasheer weg is, is daar geen wg show om jou te vertel wie verbind was nie.

Sorteer elke toestel as vervangingsendpunt, nie meer nodig nie, of onbekend. Die onbekende hoop is die een wat saak maak, want dit is die profiele wat iemand oor maande in ’n laai sal vind en sal probeer. Stuur die kennisgewing op dieselfde kanaal wat jy vir toegangsversoeke gebruik, en sit ’n datum in vir wanneer die ou endpunt ophou antwoord.

Herroep die identiteit, nie net die lêer nie

Twee verskillende handelinge word albei herroeping genoem. Op WireGuard word ’n peer slegs gemagtig deur sy publieke sleutel wat in ’n peer-afdeling met ’n AllowedIPs-inskrywing verskyn, so om die konfigurasielêer van die skootrekenaar te verwyder verander niks op die bediener nie. Verwyder die peer-blok en pas die lêer weer toe sonder om die peers te laat val wat jy hou, soos die wg(8) handleiding beskryf:

wg show
wg set wg0 peer <CLIENT_PUBLIC_KEY> remove
wg syncconf wg0 <(wg-quick strip wg0)

wg syncconf is die deel wat jou ’n onderhoudsvenster spaar. Dit bou die koppelvlak in plek uit die lêer op, so om een peer te verwyder breek nie die tonnel af wat almal anders gebruik nie. As jy die hele gasheer onttrek eerder as een peer, maak die volgorde steeds saak, want daardie sleutels word dalk elders vertrou.

Met ’n X.509-opstelling is die herroepstap die sertifikaat, nie die lêer nie: openssl ca -revoke client.crt en dan openssl ca -gencrl -out crl.pem. Dit het net ’n effek waar die verifieerder dit lees, wat beteken ’n OpenVPN-bediener met crl-verify opgestel en daarna herlaai. As hierdie gateway die enigste verbruiker van daardie CA is, hou die CRL op om saak te maak die dag wanneer dit doodgaan; as dieselfde CA vir ’n tweede gateway onderteken, bly ’n sertifikaat wat jy nooit herroep het nie, daar werk.

Rekeninge is die derde geval en die een wat die meeste oorgeslaan word. Toe die gateway teen RADIUS, LDAP of ’n gehoste identiteitsverskaffer geauthentiseer het, leef die rekening buite die VPN. Deaktiveer dit in die gids. Om ’n gebruikerstanza op die bediener te skrap, laat ’n geldige geloofsbrief oor wat die vervangingsendpunt sal aanvaar sodra dit na dieselfde gids wys.

Sluit die luisteraars en die paaie daarna

Stop die diens op ’n manier wat ’n herbegin oorleef, en bevestig dan met ’n socket-lys eerder as die eenheidstatus. systemctl disable --now wg-quick@wg0 stop die koppelvlak en verwyder die roetes en reëls wat wg-quick bygevoeg het; systemctl disable --now openvpn-server@server doen dieselfde vir ’n getemplateerde OpenVPN-instansie. Volg enige van die twee met ss -lunp en ss -ltnp. ’n Leë resultaat vir die ou poort is die enigste bewys wat tel.

Wat wg-quick bygevoeg het, verwyder wg-quick. Wat jy met die hand bygevoeg het, bly: ’n aanhoudende NAT-reël, ’n firewall-toelating, ’n router-poortaanstuur, ’n wolkserheidgroep-toegangsreël, ’n lasbalanseerder-luisteraar. Dit moet uitdruklik verwyder word, en so ook die DNS-rekord, dit wil sê die A, die AAAA en enige CNAME wat na die naam wys. ’n Naam wat na ’n dooie gasheer oplos, misluk anders as ’n naam wat nie oplos nie, en daardie verskil sal iemand ’n middag kos.

Die kopie wat jy vergeet, is die kloon. ’n Momentopname of ’n VM wat uit rugsteun herstel is, hou steeds die gasheersleutels en die ou peer-lys, en as iets dit op dieselfde adres terugbring, herverbind kliënte na ’n diens wat jy glo onttrek is. Merk die rugsteunstel as behorende aan ’n uitbedryfgestelde diens en hou dit uit outomatiese herstelpaaie.

Jaag wat nog na die ou endpunt wys

Gekaste profiele oorleef DNS. ’n Gestoor konfigurasie met ’n numeriese adres bly skakel nadat die rekord weg is, en ’n altyd-aan-kliënt probeer weer by elke netwerkverandering. Dit is geraas eerder as toegang, want die luisteraar is gesluit, maar om te weet na watter een jy kyk, bepaal hoe jy die kaartjie antwoord.

Vee dan die afhanklikhede uit wat niemand onder VPN argiveer nie: uptime-kontroles wat die poort toets, rugsteuntake wat konfigurasies van die gasheer getrek het, outomatiseringsgeloofsbriewe wat gebruik is om peer-inskrywings te stoot, herstelrekeninge wat net vir hierdie endpunt geskep is. Elkeen is ’n toegangspad met sy eie leeftyd en sy eie eienaar, so elkeen kry ’n besluit eerder as ’n stille skrapping.

Verifieer, en skryf dit dan neer

Onttrekking is klaar wanneer ’n toets van buite misluk op die manier wat jy verwag. Vanaf ’n netwerk wat jy nie beheer nie, verbind na die ou adres en poort. ’n Gefiltreerde of geweierde resultaat is die suksesgeval. Bevestig in die kliëntprogram dat die profiel verwyder is eerder as afgeskakel, en dat geen bestuursprofiel dit stilletjies weer byvoeg nie.

Teken dan aan wat jy gedoen het: endpunt, datum, sleutels en sertifikate herroep, rekeninge gedeaktiveer, waar die rugsteune woon. Wie ook al volgende ’n ou konfigurasie vind, moet kan antwoord of dit herroep of net uitgevee is, sonder om te raai, en ’n kort tabel in die kaartjie doen dit.

Voordat jy die kaartjie sluit:

• kliëntprofiele verwyder of vervang, onbekende toestelle opgelos
• peers verwyder en die konfigurasie weer toegepas, of sertifikate herroep en die CRL gepubliseer
• gidsrekeninge gedeaktiveer, nie net plaaslike lêers uitgevee nie
• diens gedeaktiveer, geen luisteraar op die ou poort oor nie
• firewall, poortaanstuur, veiligheidsgroep en DNS-inskrywings verwyder
• rugsteune gemerk, momentopname uit herstelpaaie uitgesluit
• moniterings- en outomatiseringsgeloofsbriewe onttrek

Verifieer die vervanging afsonderlik, vanaf ’n kliënt wat nooit die ou profiel gehad het nie. Daardie enkele toets vertel jou of jy ’n diens onttrek het of net die probleem hernoem het.