Kuidas VPN-serverit käibelt võtta, jätmata juurdepääsu järele

Teie klient ühendub endiselt päeval, mil kasutuselt kõrvaldamise pilet avaneb. Rakenduses istub profiil, see läbiräägib ja tunnel tõuseb, nagu poleks midagi muutunud. See on hetk töötada vastupidises suunas sellest, kuidas te teenuse ehitasite: alustage kliendinimekirjast, liikuge väljapoole kuulajani, seejärel tulemüürini ja lõpetage volitustega, mis elavad neist kõigist kauem. VM-i väljalülitamine on viimane samm, mitte esimene. See juhend eeldab, et teil on hostile konsooli juurdepääs ja õigus muuta kliendikirjeid ning DNS-i.

Kõigepealt käige läbi kliendinimekiri

Avage kõik, mis teie profiile jagab, ja lugege nimekiri enne, kui serverit puutute. Iga kirje on seade, mis usub, et tal on juurdepääs: telefonid, sülearvutid, harukontori ruuter, konteiner, mis sünkroonib iga öö. Eksportige see nimekiri piletisse, sest kui host kaob, pole enam wg show, mis ütleks, kes oli ühendatud.

Sorteerige iga seade asenduslõpp-punktiks, enam mittevajalikuks või tundmatuks. Tundmatute hunnik on see, mis loeb, sest need on profiilid, mille keegi kuude pärast sahtlist leiab ja proovib. Saatke teade samas kanalis, mida kasutate juurdepääsutaotluste jaoks, ja pange sinna kuupäev, millal vana lõpp-punkt vastamise lõpetab.

Tühistage identiteet, mitte ainult fail

Kaht erinevat toimingut nimetatakse mõlemat tühistamiseks. WireGuardis on peer volitatud ainult oma avaliku võtmega, mis esineb peer-jaotises koos AllowedIPs-kirjega, seega konfiguratsioonifaili sülearvutist kustutamine ei muuda serveris midagi. Eemaldage peer-plokk ja rakendage fail uuesti, laskmata maha neid peere, mida hoiate, nagu kirjeldab wg(8) käsiraamat:

wg show
wg set wg0 peer <CLIENT_PUBLIC_KEY> remove
wg syncconf wg0 <(wg-quick strip wg0)

wg syncconf on see osa, mis säästab teile hooldusakna. See ehitab liidese failist kohapeal uuesti üles, nii et ühe peeri eemaldamine ei rebesta tunnelit, mida kõik teised kasutavad. Kui võtate käibelt kogu hosti, mitte ühe peeri, on järjekord endiselt oluline, sest neid võtmeid võidakse mujal usaldada.

X.509 seadistuse korral on tühistamissamm sertifikaat, mitte fail: openssl ca -revoke client.crt ja seejärel openssl ca -gencrl -out crl.pem. See mõjub ainult seal, kus valideerija seda loeb, mis tähendab, et OpenVPN server, kus crl-verify on seadistatud ja hiljem uuesti laaditud. Kui see lüüs on selle CA ainus tarbija, lakkab CRL tähtsusest päeval, mil see sureb; kui sama CA allkirjastab teise lüüsi jaoks, jääb sertifikaat, mida te kunagi ei tühistanud, seal tööle.

Kontod on kolmas juhtum ja kõige sagedamini vahele jäetud. Kui lüüs autentis end RADIUSe, LDAPi või majutatud identiteedipakkuja vastu, elab konto väljaspool VPN-i. Keelake see kataloogis. Kasutaja stanza kustutamine serveris jätab kehtiva volituse, mille asenduslõpp-punkt võtab vastu hetkel, mil see osutab samale kataloogile.

Sulgege kuulajad ja teed nendeni

Peatage teenus nii, et see peab vastu taaskäivitusele, ja kinnitage siis socketite loendiga, mitte üksuse olekuga. systemctl disable --now wg-quick@wg0 peatab liidese ja eemaldab marsruudid ja reeglid, mille wg-quick lisas; systemctl disable --now openvpn-server@server teeb sama mallipõhise OpenVPN-i eksemplari jaoks. Järgige kumbagi ss -lunp ja ss -ltnp-ga. Tühi tulemus vana pordi jaoks on ainus tõestus, mis loeb.

Mida wg-quick lisas, selle wg-quick eemaldab. Mida te käsitsi lisasite, jääb: püsiv NAT-reegel, tulemüüri luba, ruuteri pordisuunamine, pilve turvagrupi sissetulev reegel, koormusjaoturi kuulaja. Need vajavad selgesõnalist eemaldamist, ja sama kehtib DNS-kirje kohta, see tähendab A, AAAA ja iga CNAME, mis osutab nimele. Nimi, mis lahendub surnud hostiks, ebaõnnestub teisiti kui nimi, mis ei lahendu, ja see erinevus maksab kellelegi ühe pärastlõuna.

Koopia, mille unustate, on kloon. Varukoopiast taastatud hetktõmmis või VM hoiab endiselt hosti võtmeid ja vana peer-nimekirja, ja kui miski toob selle samale aadressile tagasi, ühenduvad kliendid uuesti teenusega, mida peate käibelt võetuks. Märgistage varukoopiakomplekt kasutuselt kõrvaldatud teenusele kuuluvaks ja hoidke see automaatsetest taasteteedest väljas.

Ajage taga seda, mis osutab endiselt vanale lõpp-punktile

Vahemällu salvestatud profiilid elavad DNS-ist kauem. Numbrilise aadressiga salvestatud konfiguratsioon valib edasi ka pärast kirje kadumist ja alati sisselülitatud klient proovib uuesti iga võrgu muutuse korral. See on müra, mitte juurdepääs, sest kuulaja on suletud, kuid teadmine, kumba kahest te vaatate, otsustab, kuidas piletile vastate.

Seejärel pühkige läbi sõltuvused, mida keegi VPN-i alla ei arhiveeri: tööaja kontrollid, mis porti kompavad, varundustööd, mis tõmbasid hostist konfiguratsioone, automatiseerimisvolitused, mida kasutati peer-kirjete lükkamiseks, taastekontod, mis loodi ainult selle lõpp-punkti jaoks. Igaüks on juurdepääsutee oma eluea ja oma omanikuga, seega saab igaüks otsuse vaikse kustutamise asemel.

Kontrollige ja kirjutage siis üles

Kasutuselt kõrvaldamine on lõpetatud, kui väljastpoolt tehtud test ebaõnnestub nii, nagu ootate. Võrgust, mida te ei kontrolli, ühenduge vana aadressi ja pordiga. Filtreeritud või keeldutud tulemus on õnnestumise juhtum. Kliendirakenduses kinnitage, et profiil eemaldati, mitte ainult lülitati välja, ja et ükski haldusprofiil ei lisa seda vaikselt tagasi.

Seejärel kirjutage üles, mida tegite: lõpp-punkt, kuupäev, tühistatud võtmed ja sertifikaadid, keelatud kontod, kus varukoopiad asuvad. Kes järgmisena vana konfiguratsiooni leiab, peab vastama, kas see tühistati või lihtsalt kustutati, ilma oletamata, ja piletis olev lühike tabel teeb seda.

Enne pileti sulgemist:

• kliendiprofiilid eemaldatud või asendatud, tundmatud seadmed lahendatud
• peerid eemaldatud ja konfiguratsioon uuesti rakendatud või sertifikaadid tühistatud ja CRL avaldatud
• kataloogikontod keelatud, mitte ainult kohalikud failid kustutatud
• teenus keelatud, vanasse porti ei jäänud ühtegi kuulajat
• tulemüür, pordisuunamine, turvagrupp ja DNS-kirjed eemaldatud
• varukoopiad märgistatud, hetktõmmis taasteteedest välja jäetud
• jälgimis- ja automatiseerimisvolitused käibelt võetud

Kontrollige asendust eraldi, kliendist, kellel polnud kunagi vana profiili. See üks test ütleb teile, kas võtsite teenuse käibelt või ainult nimetasite probleemi ümber.