VPN serverini identiklikləri təkrarlamadan necə bərpa etməli

Ehtiyat nüsxəni bərpa etdiniz, xidmət işə düşdü və müştəri ilk cəhddə qoşuldu. Bu uğur tələdir. Bərpa serverin anlık görüntü zamanındakı fayllarını qaytarır, o vaxtdan dəyişən giriş vəziyyətini yox, və köhnə son nöqtə hələ də əlçatandırsa, indi bir identikliyə cavab verən iki maşınınız var. Həll daha yaxşı ehtiyat nüsxə deyil; bərpa edilmiş hostun tək əl sıxışmasına cavab verməzdən əvvəl nə ola biləcəyinə qərar verməkdir.

Ehtiyat nüsxə faylları qaytarır, səlahiyyəti yox

Anlık görüntü server konfiqurasiyasını, şəxsi açarları, sertifikat orqanını, peer siyahısını və firewall qaydalarını ehtiyat nüsxə işləyən andakı kimi saxlayır. Sonradan dəyişənləri saxlaya bilmir: ləğv etdiyiniz cihazı, yenidən buraxdığınız açarı, noutbuk satılanda sildiyiniz peer-i, köçürdüyünüz alt şəbəkəni. Bərpa faylları o ana qaytarır. İnsanların o vaxtdan verdiyi qərarları geri qaytarmır.

Zərər məhz bu boşluqdan gəlir. Ehtiyat nüsxədən iki həftə sonra ləğv edilmiş oğurlanmış noutbuk bərpa edilmiş ağacdakı köhnə CRL-ə qarşı hələ də doğrulanan sertifikat təqdim edir və server təqaüdə çıxardığınız cihazı qəbul edir. WireGuard daha qətidir: peer siyahıda olduğu üçün səlahiyyətlidir, ona görə anlık görüntüdən sonra silinmiş peer sadəcə yenidən mövcuddur. Heç kim o girişi yenidən təsdiqləmədi. Köhnə fayl etdi.

Server identikliyi və müştəri identikliyi fərqli şəkildə sıradan çıxır

WireGuard-da server identikliyi wg0.conf-dakı şəxsi açardır, ona görə bu faylı ikinci əlçatan hosta köçürmək eyni identikliyə malik, bir-birindən xəbərsiz iki server yaradır. Hər biri öz peer siyahısını saxlayır. Yeni hostda peer-i silin, köhnəsi onu hələ də qəbul edir; birində wg show yoxlayın və həqiqətin yarısını görürsünüz. Müştərilər də özləri keçid etmir: profil bir Endpoint daşıyır, ona görə cihaz konfiqurasiya edildiyi ünvanla danışmağa davam edir, bu da təqaüdə çıxarmaq istədiyiniz host ola bilər.

OpenVPN eyni qatda server sertifikatı, onun şəxsi açarı və tls-auth və ya tls-crypt statik açarı ilə təkrarlanır. Üçünü də köçürün və müştəri nüsxələri ayırd edə bilməz; hər ikisi əlçatandırsa, yenidən qoşulma hər hansı birinə düşə bilər və hər log faylı qismən hekayə danışır. Sertifikat orqanı daha dərin nüsxədir. Bərpa edilmiş easy-rsa ağacı verdiyiniz istənilən ad üçün etibarlı sertifikat verə bilən ikinci həqiqət mənbəyidir.

Müştərilər də təkrarlanır, adətən miqrasiyanın özündə. Profili ehtiyat cihaza «sadəcə sınamaq üçün» köçürmək eyni açar və ümumi adla ikinci cihaz yaradır. duplicate-cn ilə hər iki sessiya eyni vaxtda qala bilər və ccd və ya ifconfig-pool-persist içində statik ünvan təyini orijinal cihazla toqquşa bilər. Bu, bir identikliyi geyinən iki maşındır və server konfiqurasiyasında heç nə onları ayırmır.

Köhnə son nöqtə üçün üç vəziyyətdən birini seçin

Bərpa yalnız köhnə son nöqtənin taleyi həll olunduqdan sonra təhlükəsizdir. Təqaüdə çıxarın: köhnə xidmət yeni host işə düşməzdən əvvəl VPN portunu qəbul etməyi dayandırmalıdır və maşına çata bilmirsinizsə, həmin portu şəbəkə kənarında inzibati mənbənizdən başqa hər şey üçün bloklayın. Eyni hostu təmir edin: identikliyi təkrar istifadə etmək olar, çünki onu bir maşın saxlayır, lakin sonra köhnə açarın disk nüsxəsini və ya VM anlık görüntüsünü məhv edin ki, geri qayıda bilməsin. Əlçatanlıq cütü qurun: iki host fərqli host identikliyi və bir ümumi son nöqtə tələb edir, məsələn üzən ünvan, yük balanslaşdırıcı və ya köçürə bildiyiniz DNS. Şəxsi açarı köçürmək failover dizaynı deyil; bu, bir adı iddia edən iki serverdir.

Müştərilərə toxunmazdan əvvəl həqiqətən hansı vəziyyətdə olduğunuzu təsdiqləyin. VPN portunda cavab verən köhnə host ləğv edilmiş cihazı qəbul edəcək hostdur, hətta DNS köçmüş olsa da. Dinləyiciləri və açıq açarı yoxlayın:

ss -lunp | grep -E ':51820|:1194'
wg show wg0
wg pubkey < /etc/wireguard/server.key

Əvvəlcə peer-ləri, ləğvləri və ünvanları uyğunlaşdırın

Bərpanın iddia etdiklərini hazırda səlahiyyətli olanlarla müqayisə edin. WireGuard-da wg show wg0 hər peer-in açarını, son nöqtəsini, son əl sıxışmasını və ötürmə sayğaclarını verir, bu da artıq sahibi olmadığınız cihazı görməyə bəs edir. Onu canlı olaraq wg set wg0 peer <key> remove ilə silin, sonra konfiqurasiyanı da redaktə edin, yoxsa peer növbəti başlanğıcda geri qayıdır. wg show wg0 allowed-ips ikinci problemi ortaya çıxarır: bir ünvanda iki peer və ya artıq yenidən təyin etdiyiniz ünvan.

OpenVPN-də ləğv siyahısı tarixi olan fayldır və bərpa köhnə birini geri gətirə bilər. Müştərilər qoşulmazdan əvvəl onu yoxlayın:

openssl crl -in /etc/openvpn/crl.pem -noout -lastupdate -nextupdate
grep -E 'crl-verify|reneg-sec' /etc/openvpn/server.conf

Son yeniləmə ləğvdən əvvəldirsə, server hələ də ləğv etdiyiniz sertifikata hörmət edir. OpenVPN 2.4 və sonrası hər yeni bağlantı üçün CRL faylını yenidən oxuyur, ona görə faylı dəyişmək yeni sessiyaları dayandırır, lakin qurulmuş tunellər yenidən razılaşmaya qədər davam edir; default reneg-sec 3600 saniyədir və onu azaltmaq və ya xidməti yenidən başlatmaq dəyişikliyi indi verir. Köhnə buraxılışlar faylı o qədər də etibarlı qəbul etməyə bilər, ona görə versiyanın davranışını təsdiqləyə bilmədikdə yenidən başladın. wg(8) təlimatı yuxarıda istifadə olunan peer silmə və allowed-ips sintaksisini əhatə edir.

Artıq mövcud olmayan cihazlar üçün statik təyinatları da təmizləyin. Köhnə profil hələ quraşdırılmışkən təqaüdə çıxmış cihazın ünvanını yenisinə təkrar istifadə etmək məhz qaçmaq istədiyiniz dublikatı yaradır.

Ləğv etdiyiniz müştəri ilə yoxlayın

Yoxlamaları tuneldən kənar şəbəkədən, ardıcıllıqla aparın. Əvvəlcə səlahiyyətli cihaz qoşulur, DNS-i ötürülən resolver vasitəsilə həll edir və şəxsi resursa çatır. Sonra ləğv edilmiş cihaz uğursuz olmalıdır, yeni deyil, mövcud profili ilə. Sonra köhnə son nöqtəni kənardan sınayın: VPN portu hələ də əl sıxışmasını tamamlayırsa, köhnə host canlıdır və təkrarlama nəzəri deyil, realdır.

Bərpa edilmiş hostu yenidən başladın və səlahiyyətli və ləğv yoxlamalarını təkrarlayın, çünki konfiqurasiya faylı məhz o zaman işləmə zamanı dəyişdiklərinizi üstələyir. Hostun açıq açarını və ya sertifikat barmaq izini təqaüdə çıxmış maşının istifadə etdiyi ilə müqayisə edin. İki canlı maşında uyğun barmaq izləri bərpanın identikliyi klonladığını bildirir; bir maşında uyğun barmaq izləri normaldır. Bərpa edilmiş versiyaları, açar barmaq izlərini və ləğv edilmiş seriyanı və ya peer açarını qeyd edin, sonra növbəti ehtiyat nüsxəni bu uyğunlaşdırmadan sonra götürün ki, xidməti indiki kimi təmsil etsin. İşləyən sınaq müştərinin qoşulması deyil. Sınaq odur ki, sildiyiniz müştəri kənarda qalsın, köhnə son nöqtə isə bağlı qalsın.