Kiel emeritigi VPN-servilon sen lasi aliron malantaŭe

Via kliento ankoraŭ konektiĝas en la tago, kiam la emeritiĝa bileto malfermiĝas. Profilo sidas en la aplikaĵo, ĝi intertraktas, kaj la tunelo leviĝas kvazaŭ nenio ŝanĝiĝis. Tio estas la momento labori en la kontraŭa direkto al tio, kiel vi konstruis la servon: komencu ĉe la klienta listo, iru eksteren al la aŭskultanto, poste al la fajroŝirmilo, kaj finu per la legitimiloj, kiuj postvivas ĉion tion. Malŝalti la VM estas la lasta paŝo, ne la unua. Ĉi tiu trairo supozas, ke vi havas konzolan aliron al la gastiganto kaj la rajton redakti klientajn rikordojn kaj DNS.

Unue trairu la klientan liston

Malfermu kion ajn distribuas viajn profilojn kaj legu la liston antaŭ ol tuŝi la servilon. Ĉiu enskribo estas aparato, kiu kredas, ke ĝi havas aliron: telefonoj, tekkomputiloj, filia kursigilo, ujo, kiu sinkronigas ĉiunokte. Eksportu tiun liston en la bileton, ĉar post kiam la gastiganto foriros, ne estos wg show por diri al vi, kiu estis konektita.

Ordigi ĉiun aparaton en anstataŭan finpunkton, ne plu bezonatan aŭ nekonatan. La nekonata sitelo estas la grava, ĉar tiuj estas la profiloj, kiujn iu trovos en tirkesto post monatoj kaj provos. Sendu la avizon sur la sama kanalo, kiun vi uzas por alirpetoj, kaj metu daton en ĝin por kiam la malnova finpunkto ĉesos respondi.

Revoku la identecon, ne nur la dosieron

Du malsamaj agoj ambaŭ nomiĝas revokado. Ĉe WireGuard, samtavolano estas rajtigita nur per sia publika ŝlosilo aperanta en samtavolana sekcio kun AllowedIPs-enskribo, do forigi la agordan dosieron de la tekkomputilo ŝanĝas nenion sur la servilo. Forigu la samtavolan blokon kaj reapliku la dosieron sen faligi la samtavolanojn, kiujn vi tenas, kiel priskribas la wg(8) manlibro:

wg show
wg set wg0 peer <CLIENT_PUBLIC_KEY> remove
wg syncconf wg0 <(wg-quick strip wg0)

wg syncconf estas la parto, kiu ŝparas al vi prizorgan fenestron. Ĝi rekonstruas la interfacon el la dosiero surloke, do forigi unu samtavolanon ne disŝiras la tunelon, kiun ĉiuj aliaj uzas. Se vi emeritigas la tutan gastiganton anstataŭ unu samtavolano, la ordo ankoraŭ gravas, ĉar tiuj ŝlosiloj povas esti fidataj aliloke.

Ĉe X.509-agordo la revoka paŝo estas la atestilo, ne la dosiero: openssl ca -revoke client.crt kaj poste openssl ca -gencrl -out crl.pem. Tio efikas nur tie, kie la kontrolanto legas ĝin, kio signifas, ke OpenVPN servilo kun agordita crl-verify kaj poste reŝargita. Se ĉi tiu enirejo estas la sola konsumanto de tiu CA, la CRL ĉesas gravi en la tago, kiam ĝi mortas; se la sama CA subskribas por dua enirejo, atestilo, kiun vi neniam revokis, daŭre funkcias tie.

Kontoj estas la tria kazo kaj la plej ofte preterlasata. Kiam la enirejo aŭtentikigis kontraŭ RADIUS, LDAP aŭ gastigita identecprovizanto, la konto vivas ekster la VPN. Malŝaltu ĝin en la adresaro. Forigi uzantan strofon sur la servilo lasas validan legitimilon, kiun la anstataŭa finpunkto akceptos en la momento, kiam ĝi montros al la sama adresaro.

Fermu la aŭskultantojn kaj la vojojn al ili

Haltigu la servon tiel, ke ĝi postvivas restartigon, poste konfirmu per kontaktila listo anstataŭ per la unuostato. systemctl disable --now wg-quick@wg0 haltigas la interfacon kaj forigas la itinerojn kaj regulojn, kiujn wg-quick aldonis; systemctl disable --now openvpn-server@server faras la samon por ŝablona OpenVPN-kazo. Sekvu ajnan el la du per ss -lunp kaj ss -ltnp. Malplena rezulto por la malnova pordo estas la sola pruvo, kiu valoras.

Kion wg-quick aldonis, wg-quick forigas. Kion vi aldonis mane restas: daŭra NAT-regulo, fajroŝirmila permeso, kursigila pordplusendo, nuba sekurecgrup-enira regulo, ŝarĝbalancila aŭskultanto. Tiuj bezonas eksplicitan forigon, kaj same la DNS-rikordo, do la A, la AAAA kaj ĉiu CNAME montranta al la nomo. Nomo, kiu solviĝas al morta gastiganto, malsukcesas alimaniere ol nomo, kiu ne solviĝas, kaj tiu diferenco kostos al iu posttagmezon.

La kopio, kiun vi forgesas, estas la klono. Momentfoto aŭ VM restarigita el sekurkopio ankoraŭ tenas la gastigantajn ŝlosilojn kaj la malnovan samtavolan liston, kaj se io revenigos ĝin al la sama adreso, klientoj rekonektiĝos al servo, kiun vi kredas emeritigita. Etikedu la sekurkopion kiel apartenantan al malmuntita servo kaj tenu ĝin ekster aŭtomataj restarigvojoj.

Ĉasu tion, kio ankoraŭ montras al la malnova finpunkto

Kaŝmemoraj profiloj postvivas DNS. Konservita agordo kun numera adreso daŭre vokas post kiam la rikordo foriris, kaj ĉiam ŝaltita kliento reprovas ĉe ĉiu retŝanĝo. Tio estas bruo anstataŭ aliro, ĉar la aŭskultanto estas fermita, sed scii, kiun el la du vi rigardas, decidas kiel vi respondos la bileton.

Poste balau la dependaĵojn, kiujn neniu arĥivas sub VPN: vivdaŭraj kontroloj, kiuj palpas la pordon, sekurkopiaj taskoj, kiuj tiris agordojn de la gastiganto, aŭtomatigaj legitimiloj uzitaj por puŝi samtavolajn enskribojn, restaŭraj kontoj kreitaj nur por ĉi tiu finpunkto. Ĉiu estas alirvojo kun propra vivdaŭro kaj propra posedanto, do ĉiu ricevas decidon anstataŭ silenta forigo.

Kontrolu, poste skribu ĝin

Emeritiĝo finiĝas, kiam testo de ekstere malsukcesas tiel, kiel vi atendas. El reto, kiun vi ne kontrolas, konektu al la malnova adreso kaj pordo. Filtrita aŭ rifuzita rezulto estas la sukcesa kazo. En la klienta aplikaĵo konfirmu, ke la profilo estis forigita, ne simple malŝaltita, kaj ke neniu administra profilo silente re-aldonas ĝin.

Poste registru, kion vi faris: finpunkto, dato, revokitaj ŝlosiloj kaj atestiloj, malŝaltitaj kontoj, kie loĝas la sekurkopioj. Kiu ajn sekve trovos malnovan agordon, devas respondi, ĉu ĝi estis revokita aŭ nur forigita, sen diveni, kaj mallonga tabelo en la bileto faras tion.

Antaŭ ol fermi la bileton:

• klientaj profiloj forigitaj aŭ anstataŭigitaj, nekonataj aparatoj solvitaj
• samtavolanoj forigitaj kaj la agordo reaplikita, aŭ atestiloj revokitaj kaj la CRL publikigita
• adresaraj kontoj malŝaltitaj, ne nur lokaj dosieroj forigitaj
• servo malŝaltita, neniu aŭskultanto restis sur la malnova pordo
• fajroŝirmilo, pordplusendo, sekurecgrupo kaj DNS-enskriboj forigitaj
• sekurkopioj etikeditaj, momentfoto ekskludita el restarigvojoj
• observaj kaj aŭtomatigaj legitimiloj emeritigitaj

Kontrolu la anstataŭaĵon aparte, de kliento, kiu neniam tenis la malnovan profilon. Tiu unu testo diras al vi, ĉu vi emeritigis servon aŭ nur renomis la problemon.