VPN serverini girişi arxada qoymadan istifadədən çıxarmaq

Müştəriniz istifadədən çıxarma bileti açıldığı gün hələ də qoşulur. Tətbiqdə bir profil oturur, danışıq aparır və tunel sanki heç nə dəyişməyib kimi qalxır. Xidməti necə qurduğunuzun əks istiqamətində işləmək vaxtı məhz budur: müştəri siyahısından başlayın, dinləyiciyə doğru bayıra gedin, sonra firewall-a, və hamısından uzun yaşayan etimadnamələrlə bitirin. VM-i söndürmək ilk yox, son addımdır. Bu bələdçi hosta konsol girişiniz və müştəri qeydləri ilə DNS-i redaktə etmək səlahiyyətiniz olduğunu fərz edir.

Əvvəlcə müştəri siyahısından keçin

Profillərinizi paylayan hər şeyi açın və serverə toxunmazdan əvvəl siyahını oxuyun. Hər giriş girişi olduğuna inanan bir cihazdır: telefonlar, noutbuklar, filial marşrutlaşdırıcısı, hər gecə sinxronlaşan konteyner. Həmin siyahını bilete çıxarın, çünki host getdikdən sonra kimin qoşulduğunu sizə deyəcək wg show olmayacaq.

Hər cihazı əvəzedici son nöqtə, artıq lazım deyil və ya naməlum kimi sıralayın. Əhəmiyyətli olan naməlum qutusudur, çünki aylar sonra kimsə siyahıda tapıb yoxlayacağı profillər elə onlardır. Bildirişi giriş sorğuları üçün istifadə etdiyiniz kanalda göndərin və köhnə son nöqtənin cavab verməyə dayanacağı tarixi içinə yazın.

Şəxsiyyəti ləğv edin, təkcə faylı yox

İki fərqli əməliyyatın hər ikisi ləğvetmə adlanır. WireGuard-da peer yalnız AllowedIPs girişi olan peer bölməsində görünən açıq açarı ilə səlahiyyətləndirilir, ona görə noutbukdan konfiqurasiya faylını silmək serverdə heç nəyi dəyişmir. Peer blokunu çıxarın və saxladığınız peer-ləri atlamadan faylı yenidən tətbiq edin, wg(8) təlimatının təsvir etdiyi kimi:

wg show
wg set wg0 peer <CLIENT_PUBLIC_KEY> remove
wg syncconf wg0 <(wg-quick strip wg0)

wg syncconf sizi texniki xidmət pəncərəsindən xilas edən hissədir. O, interfeysi fayldan yerində yenidən qurur, ona görə bir peer-in çıxarılması hamının istifadə etdiyi tuneli dağıtmır. Bir peer yerinə bütün hostu istifadədən çıxarırsınızsa, sıra yenə vacibdir, çünki o açarlara başqa yerdə etibar edilə bilər.

X.509 quruluşunda ləğvetmə addımı fayl yox, sertifikatdır: openssl ca -revoke client.crt və sonra openssl ca -gencrl -out crl.pem. Bu yalnız yoxlayıcının onu oxuduğu yerdə təsir edir, yəni OpenVPN serveri crl-verify ilə konfiqurasiya edilib sonradan yenidən yüklənəndə. Əgər bu şlüz həmin CA-nın yeganə istehlakçısıdırsa, CRL öldüyü gün əhəmiyyətini itirir; əgər eyni CA ikinci şlüz üçün imza atırsa, heç vaxt ləğv etmədiyiniz sertifikat orada işləməyə davam edir.

Hesablar üçüncü haldır və ən çox atlanan haldır. Şlüz RADIUS, LDAP və ya hostinq kimlik provayderi ilə autentifikasiya edəndə hesab VPN-dən kənarda yaşayır. Onu kataloqda deaktiv edin. Serverdə istifadəçi bölməsini silmək etibarlı etimadnamə buraxır və əvəzedici son nöqtə eyni kataloqa yönəldiyi anda onu qəbul edəcək.

Dinləyiciləri və onlara aparan yolları bağlayın

Xidməti yenidən başlatmaya davam edəcək şəkildə dayandırın, sonra vahid vəziyyəti ilə deyil, soket siyahısı ilə təsdiqləyin. systemctl disable --now wg-quick@wg0 interfeysi dayandırır və wg-quick-in əlavə etdiyi marşrut və qaydaları silir; systemctl disable --now openvpn-server@server şablonlu OpenVPN nüsxəsi üçün eynisini edir. Hər ikisindən sonra ss -lunp və ss -ltnp işlədin. Köhnə port üçün boş nəticə sayılan yeganə sübutdur.

wg-quick nə əlavə edibsə, wg-quick onu silir. Əllə əlavə etdikləriniz qalır: daimi NAT qaydası, firewall icazəsi, marşrutlaşdırıcı port yönləndirməsi, bulud təhlükəsizlik qrupunun giriş qaydası, yük balanslaşdırıcısı dinləyicisi. Bunlar açıq şəkildə silinməlidir, DNS qeydi də, yəni A, AAAA və ada işarə edən hər hansı CNAME. Ölü hosta çevrilən ad çevrilməyən addan fərqli şəkildə uğursuz olur və bu fərq kiməsə bir günorta baha başa gələcək.

Unutduğunuz nüsxə klondur. Ehtiyat nüsxədən bərpa edilmiş snapshot və ya VM hələ də host açarlarını və köhnə peer siyahısını saxlayır və nə isə onu eyni ünvana qaytararsa, müştərilər istifadədən çıxarıldığını düşündüyünüz xidmətə yenidən qoşulur. Ehtiyat nüsxə dəstini istifadədən çıxarılmış xidmətə aid kimi işarələyin və avtomatik bərpa yollarından kənarda saxlayın.

Hələ köhnə son nöqtəyə işarə edənləri təqib edin

Keşlənmiş profillər DNS-dən uzun yaşayır. Rəqəmsal ünvanlı saxlanmış konfiqurasiya qeyd getdikdən sonra da zəng etməyə davam edir və həmişə açıq müştəri hər şəbəkə dəyişikliyində yenidən cəhd edir. Bu giriş deyil, səs-küydür, çünki dinləyici bağlıdır, amma hansına baxdığınızı bilmək bileti necə cavablandıracağınızı müəyyən edir.

Sonra heç kimin VPN altında arxivləşdirmədiyi asılılıqları süpürün: portu yoxlayan işləmə müddəti yoxlamaları, hostdan konfiqurasiya çəkən ehtiyat nüsxə işləri, peer girişlərini itələmək üçün istifadə edilən avtomatlaşdırma etimadnamələri, yalnız bu son nöqtə üçün yaradılmış bərpa hesabları. Hər biri öz ömrü və öz sahibi olan giriş yoludur, ona görə hər biri səssiz silinmə yerinə qərar alır.

Yoxlayın, sonra yazın

İstifadədən çıxarma, kənardan edilən sınaq gözlədiyiniz şəkildə uğursuz olanda bitir. Nəzarət etmədiyiniz şəbəkədən köhnə ünvana və porta qoşulun. Filtrlənmiş və ya rədd edilmiş nəticə uğur halıdır. Müştəri tətbiqində profilin söndürüldüyünü deyil, silindiyini və heç bir idarəetmə profilinin onu səssizcə yenidən əlavə etmədiyini təsdiqləyin.

Sonra nə etdiyinizi qeyd edin: son nöqtə, tarix, ləğv edilmiş açarlar və sertifikatlar, deaktiv edilmiş hesablar, ehtiyat nüsxələrin harada olduğu. Növbəti dəfə köhnə konfiqurasiya tapan hər kəs onun ləğv edildiyini, yoxsa sadəcə silindiyini təxmin etmədən cavablandırmalıdır və biletdəki qısa cədvəl bunu edir.

Bileti bağlamazdan əvvəl:

• müştəri profilləri silinib və ya əvəzlənib, naməlum cihazlar həll olunub
• peer-lər silinib və konfiqurasiya yenidən tətbiq edilib, ya da sertifikatlar ləğv edilib və CRL dərc edilib
• kataloq hesabları deaktiv edilib, yalnız yerli fayllar silinməyib
• xidmət deaktiv edilib, köhnə portda dinləyici qalmayıb
• firewall, port yönləndirməsi, təhlükəsizlik qrupu və DNS qeydləri silinib
• ehtiyat nüsxələr işarələnib, snapshot bərpa yollarından çıxarılıb
• monitorinq və avtomatlaşdırma etimadnamələri istifadədən çıxarılıb

Əvəzləyicini ayrıca yoxlayın, köhnə profili heç vaxt daşımamış müştəridən. Bu tək sınaq sizə xidməti istifadədən çıxardığınızı, yoxsa yalnız problemi adlandırdığınızı deyir.