Sut i ymddeol gweinydd VPN heb adael mynediad ar ôl

Mae eich cleient yn dal i gysylltu ar y diwrnod y bydd y tocyn ymddeol yn agor. Mae proffil yn eistedd yn yr ap, mae'n trafod, ac mae'r tiwnel yn codi fel petai dim wedi newid. Dyma'r foment i weithio i'r cyfeiriad arall at sut y gwnaethoch adeiladu'r gwasanaeth: dechreuwch yn rhestr y cleientiaid, cerddwch tuag allan at y gwrandawr, yna at y mur cadarn, a gorffenwch gyda'r cymwysterau sy'n byw'n hirach na nhw i gyd. Diffodd y VM yw'r cam olaf, nid y cyntaf. Mae'r llwybr hwn yn tybio bod gennych fynediad consol i'r lluosogydd a'r awdurdod i olygu cofnodion cleientiaid a DNS.

Cerddwch restr y cleientiaid yn gyntaf

Agorwch beth bynnag sy'n dosbarthu eich proffiliau a darllenwch y rhestr cyn i chi gyffwrdd â'r gweinydd. Mae pob cofnod yn ddyfais sy'n credu bod ganddi fynediad: ffonau, gliniaduron, llwybrydd cangen, cynhwysydd sy'n cysoni bob nos. Allforiwch y rhestr honno i'r tocyn, oherwydd unwaith y bydd y lluosogydd wedi mynd nid oes wg show i ddweud wrthych pwy oedd wedi cysylltu.

Trefnwch bob dyfais yn bwynt diwedd amnewid, ddim ei angen mwyach, neu'n anhysbys. Y bwced anhysbys yw'r un sy'n bwysig, gan mai'r rheini yw'r proffiliau y bydd rhywun yn dod o hyd iddynt mewn drôr fisoedd o nawr ac yn eu profi. Anfonwch yr hysbysiad ar yr un sianel a ddefnyddiwch ar gyfer ceisiadau mynediad, a rhowch ddyddiad ynddo ar gyfer pryd y bydd y pwynt diwedd hen yn stopio ateb.

Dirymwch y hunaniaeth, nid y ffeil yn unig

Mae dwy weithred wahanol i'r ddwy yn cael eu galw'n ddirymu. Ar WireGuard, mae cymar yn cael ei awdurdodi yn unig gan ei allwedd gyhoeddus sy'n ymddangos mewn adran cymar gyda chofnod AllowedIPs, felly nid yw dileu'r ffeil ffurfweddu o'r gliniadur yn newid dim ar y gweinydd. Tynnwch y bloc cymar ac ailddefnyddiwch y ffeil heb ollwng y cymar yr ydych yn eu cadw, fel y mae wg(8) yn ei ddisgrifio:

wg show
wg set wg0 peer <CLIENT_PUBLIC_KEY> remove
wg syncconf wg0 <(wg-quick strip wg0)

wg syncconf yw'r rhan sy'n arbed ffenestr gynnal a chadw i chi. Mae'n ailadeiladu'r rhyngwyneb o'r ffeil yn ei le, felly nid yw tynnu un cymar yn rhwygo'r tiwnel y mae pawb arall yn ei ddefnyddio. Os ydych yn ymddeol y lluosogydd cyfan yn hytrach nag un cymar, mae'r drefn yn dal i fod yn bwysig, oherwydd gallai'r allweddi hynny gael eu hymddiried yn rhywle arall.

Gyda chyfluniad X.509 y cam dirymu yw'r dystysgrif, nid y ffeil: openssl ca -revoke client.crt ac yna openssl ca -gencrl -out crl.pem. Dim ond lle y mae'r gwiriedydd yn ei darllen y mae hynny'n cael effaith, sy'n golygu OpenVPN gweinydd gyda crl-verify wedi'i ffurfweddu ac wedi'i ail-lwytho wedyn. Os mai'r porth hwn yw unig ddefnyddiwr y CA hwnnw, mae'r CRL yn peidio â bod o bwys y diwrnod y bydd yn marw; os yw'r un CA yn llofnodi ar gyfer ail borth, mae tystysgrif na wnaethoch ei dirymu erioed yn parhau i weithio yno.

Cyfrifon yw'r trydydd achos a'r un a hepgorir amlaf. Pan oedd y porth yn dilysu yn erbyn RADIUS, LDAP neu ddarparwr hunaniaeth a gynhelir, mae'r cyfrif yn byw y tu allan i'r VPN. Analluogwch ef yn y cyfeirlyfr. Mae dileu pennill defnyddiwr ar y gweinydd yn gadael cymhwyster dilys y bydd y pwynt diwedd amnewid yn ei dderbyn y foment y bydd yn pwyntio at yr un cyfeirlyfr.

Caewch y gwrandawyr a'r llwybrau atynt

Ataliwch y gwasanaeth mewn ffordd sy'n goroesi ailgychwyn, yna cadarnhewch gyda rhestr soced yn hytrach na chyflwr yr uned. Mae systemctl disable --now wg-quick@wg0 yn atal y rhyngwyneb ac yn tynnu'r llwybrau a'r rheolau a ychwanegodd wg-quick; mae systemctl disable --now openvpn-server@server yn gwneud yr un peth ar gyfer enghraifft OpenVPN templedi. Dilynwch y naill neu'r llall gyda ss -lunp a ss -ltnp. Canlyniad gwag ar gyfer yr hen borth yw'r unig brawf sy'n cyfrif.

Yr hyn a ychwanegodd wg-quick, mae wg-quick yn ei dynnu. Yr hyn a ychwanegoch â llaw sy'n aros: rheol NAT barhaus, caniatâd mur cadarn, anfon porth llwybrydd ymlaen, rheol fewnbwn grŵp diogelwch cwmwl, gwrandawr cydbwysydd llwyth. Mae'r rhain angen eu tynnu'n eglur, ac felly hefyd y cofnod DNS, sef yr A, yr AAAA ac unrhyw CNAME sy'n pwyntio at yr enw. Mae enw sy'n datrys i lluosogydd marw yn methu'n wahanol i enw nad yw'n datrys, a bydd y gwahaniaeth hwnnw'n costio prynhawn i rywun.

Y copi yr ydych yn ei anghofio yw'r clôn. Mae ciplun neu VM a adferwyd o wrth gefn yn dal allweddi'r lluosogydd a'r hen restr cymar, ac os bydd rhywbeth yn ei ddwyn yn ôl i'r un cyfeiriad, mae cleientiaid yn ailgysylltu â gwasanaeth yr ydych yn credu sydd wedi ymddeol. Labelwch y set wrth gefn fel un sy'n perthyn i wasanaeth wedi'i ddatgomisiynu a'i chadw allan o lwybrau adfer awtomatig.

Erlidwch yr hyn sy'n dal i bwyntio at yr hen bwynt diwedd

Mae proffiliau wedi'u cache yn byw'n hirach na DNS. Mae ffurfweddiad wedi'i gadw â chyfeiriad rhifol yn dal i ddeialu ar ôl i'r cofnod fynd, ac mae cleient bob amser ymlaen yn ceisio eto ar bob newid rhwydwaith. Sŵn yn hytrach na mynediad yw hynny, oherwydd bod y gwrandawr ar gau, ond mae gwybod pa un o'r ddau yr ydych yn edrych arno yn penderfynu sut yr atebwch y tocyn.

Yna ysgubwch y dibyniaethau nad oes neb yn eu ffeilio o dan VPN: gwiriadau amser segur sy'n chwilota'r porth, swyddi wrth gefn a oedd yn tynnu ffurfweddiadau o'r lluosogydd, cymwysterau awtomeiddio a ddefnyddiwyd i wthio cofnodion cymar, cyfrifon adfer a grëwyd ar gyfer y pwynt diwedd hwn yn unig. Mae pob un yn llwybr mynediad â'i oes ei hun a'i berchennog ei hun, felly mae pob un yn cael penderfyniad yn lle dilead distaw.

Gwiriwch, yna ysgrifennwch ef

Mae ymddeoliad wedi gorffen pan fydd prawf o'r tu allan yn methu yn y ffordd yr ydych yn disgwyl. O rwydwaith nad ydych yn ei reoli, cysylltwch â'r hen gyfeiriad a'r porth. Canlyniad hidledig neu wrthodedig yw'r achos llwyddiant. Yn ap y cleient, cadarnhewch fod y proffil wedi'i dynnu yn hytrach na'i ddiffodd, ac nad oes proffil rheoli yn ei ychwanegu'n dawel yn ôl.

Yna cofnodwch yr hyn a wnaethoch: pwynt diwedd, dyddiad, allweddi a thystysgrifau wedi'u dirymu, cyfrifon wedi'u hanalluogi, lle mae'r copïau wrth gefn yn byw. Mae angen i bwy bynnag sy'n dod o hyd i hen ffurfweddiad nesaf ateb ai dirymwyd ef neu ai dileu yn unig, heb ddyfalu, ac mae tabl byr yn y tocyn yn gwneud hynny.

Cyn cau'r tocyn:

• proffiliau cleient wedi'u tynnu neu eu hamnewid, dyfeisiau anhysbys wedi'u datrys
• cymar wedi'u tynnu a'r ffurfweddiad wedi'i ailddefnyddio, neu dystysgrifau wedi'u dirymu a'r CRL wedi'i gyhoeddi
• cyfrifon cyfeirlyfr wedi'u hanalluogi, nid dim ond ffeiliau lleol wedi'u dileu
• gwasanaeth wedi'i analluogi, dim gwrandawr ar ôl ar yr hen borth
• mur cadarn, anfon porth ymlaen, grŵp diogelwch a chofnodion DNS wedi'u tynnu
• copïau wrth gefn wedi'u labelu, ciplun wedi'i eithrio o lwybrau adfer
• cymwysterau monitro ac awtomeiddio wedi'u hymddeol

Gwiriwch yr amnewidiad ar wahân, o gleient na fu ganddo'r hen broffil erioed. Mae'r un prawf hwnnw'n dweud wrthych a wnaethoch ymddeol gwasanaeth neu ond ailenwi'r broblem.