VPN zerbitzari bat erretiratzeko, atzera sarbiderik utzi gabe

Zure bezeroa oraindik konektatzen da erretiratze-txartela irekitzen den egunean. Profil bat dago aplikazioan, negoziatzen du, eta tunela altxatzen da ezer aldatu ez balitz bezala. Zerbitzua nola eraiki zenuen kontrako noranzkoan lan egiteko unea da: hasi bezeroen zerrendan, joan kanpora entzulearenera, gero suebakira, eta amaitu horiek guztiak gainditzen dituzten kredentzialekin. VM-a itzaltzea azken urratsa da, ez lehena. Ibilbide honek suposatzen du ostalariaren kontsolara sarbidea duzula eta bezeroen erregistroak eta DNS editatzeko aginpidea duzula.

Ibil ezazu bezeroen zerrenda lehenik

Ireki zure profilak banatzen dituen edozer eta irakurri zerrenda zerbitzaria ukitu aurretik. Sarrera bakoitza sarbidea duela uste duen gailu bat da: telefonoak, eramangarriak, adar-router bat, gauero sinkronizatzen den edukiontzi bat. Esportatu zerrenda hori txartera, ostalaria joan ondoren ez baitago wg show nor konektatuta zegoen esango dizunik.

Sailkatu gailu bakoitza ordezko amaierako puntu, jada beharrezkoa ez edo ezezagun gisa. Ezezagunen ontzia da garrantzitsua, hilabete batzuk barru norbait kaxoi batean aurkituko dituen eta probatuko dituen profilak horiek baitira. Bidali abisua sarbide-eskaeretarako erabiltzen duzun kanal berean, eta jarri data bat amaierako puntu zaharrak noiz utziko dion erantzuteari.

Baliogabetu identitatea, ez fitxategia soilik

Bi ekintza desberdinei baliogabetze deitzen zaie. WireGuard-en, peer bat bere gako publikoagatik bakarrik baimentzen da, AllowedIPs sarrera duen peer atal batean agertzen dena, beraz eramangarritik konfigurazio-fitxategia ezabatzeak ez du ezer aldatzen zerbitzarian. Kendu peer blokea eta aplikatu berriro fitxategia mantentzen dituzun peer-ak erori gabe, wg(8) eskuliburuak deskribatzen duen bezala:

wg show
wg set wg0 peer <CLIENT_PUBLIC_KEY> remove
wg syncconf wg0 <(wg-quick strip wg0)

wg syncconf mantenimendu-leiho bat aurrezten dizun zatia da. Interfazea fitxategitik berreraikitzen du bere lekuan, beraz peer bat kentzeak ez du denek erabiltzen duten tunela eraisten. Ostalari osoa erretiratzen baduzu peer bat baino, ordenak oraindik garrantzia du, gako horiek beste nonbait fidagarriak izan baitaitezke.

X.509 konfigurazioarekin baliogabetze-urratsa ziurtagiria da, ez fitxategia: openssl ca -revoke client.crt eta gero openssl ca -gencrl -out crl.pem. Horrek eragina du egiaztatzaileak irakurtzen duen tokian soilik, hau da, OpenVPN zerbitzari bat crl-verify konfiguratuta eta gero berriz kargatuta. Atebide hau CA horren kontsumitzaile bakarra bada, CRL-k garrantzia galtzen du hiltzen den egunean; CA berak bigarren ate-bide bat sinatzen badu, inoiz baliogabetu ez zenuen ziurtagiri bat lanean jarraitzen du han.

Kontuak hirugarren kasua dira eta gehien baztertzen dena. Atebidea RADIUS, LDAP edo ostatatutako identitate-hornitzaile baten aurka autentifikatzen zenean, kontua VPN-tik kanpo bizi da. Desgaitu ezazu direktorioan. Zerbitzarian erabiltzaile-stanza bat ezabatzeak baliozko kredentzial bat uzten du, ordezko amaierako puntuak direktorio berera seinalatzen duen unean onartuko duena.

Itxi entzuleak eta haietarako bideak

Gelditu zerbitzua berrabiarazteari eutsiko dion moduan, eta gero berretsi socket zerrenda batekin, unitatearen egoerarekin beharrean. systemctl disable --now wg-quick@wg0 interfazea gelditzen du eta wg-quick-ek gehitutako bideak eta arauak kentzen ditu; systemctl disable --now openvpn-server@server gauza bera egiten du txantiloi-instantzia OpenVPN baterako. Jarraitu edozein ss -lunp eta ss -ltnp-rekin. Portu zaharrarentzako emaitza hutsa da kontatzen den froga bakarra.

wg-quick-ek gehitu zuena, wg-quick-ek kentzen du. Eskuz gehitu zenuena geratzen da: NAT arau iraunkorra, suebaki-baimena, router portu-berbidalketa, hodeiko segurtasun-taldeko sarrera-araua, karga-balantzagailu entzulea. Hauek berariaz kendu behar dira, eta DNS erregistroa ere bai, hau da, A, AAAA eta izenera seinalatzen duen edozein CNAME. Ostalari hil batean ebazten den izenak beste modu batera huts egiten du ebazten ez den izen batek baino, eta alde horrek arratsalde bat kenduko dio norbaiti.

Ahazten duzun kopia klona da. Babeskopiatik leheneratutako snapshot edo VM batek ostalariaren gakoak eta peer zerrenda zaharra gordetzen ditu oraindik, eta zerbait helbide berera itzultzen badu, bezeroak erretiratutzat duzun zerbitzu batera konektatzen dira berriro. Etiketatu babeskopia multzoa deskargatutako zerbitzu bati dagokiola, eta eduki leheneratze-bide automatikoetatik kanpo.

Segi amaierako puntu zaharrera oraindik seinalatzen duenari

Cachean dauden profilek DNS gainditzen dute. Helbide numerikoa duen gordetako konfigurazioak deitzen jarraitzen du erregistroa joan ondoren, eta beti piztuta dagoen bezeroak berriro saiatzen da sare-aldaketa bakoitzean. Hori zarata da, ez sarbidea, entzulea itxita baitago, baina zein bi horietara begira zauden jakiteak erabakitzen du txartelari nola erantzun.

Gero garbitu inork VPN-aren azpian artxibatzen ez dituen mendekotasunak: portua miatzen duten martxa-denbora egiaztapenak, ostalaritik konfigurazioak ateratzen zituzten babeskopia-lanak, peer sarrerak bultzatzeko erabilitako automatizazio-kredentzialak, amaierako puntu honetarako soilik sortutako berreskuratze-kontuak. Bakoitza bizitza propio eta jabe propio duen sarbide-bide bat da, beraz bakoitzak erabaki bat jasotzen du ezabaketa isil baten ordez.

Egiaztatu, eta gero idatzi

Erretiratzea amaitzen da kanpotik egindako proba bat espero duzun moduan huts egiten duenean. Kontrolatzen ez duzun sare batetik, konektatu helbide eta portu zaharretara. Iragazitako edo ukatutako emaitza arrakastaren kasua da. Bezeroaren aplikazioan, berretsi profila kendu zela, itzali ez zela, eta kudeaketa-profil batek isilka berriro gehitzen ez duela.

Gero erregistratu egin zenuena: amaierako puntua, data, baliogabetutako gakoak eta ziurtagiriak, desgaitutako kontuak, babeskopiak non dauden. Hurrengoan konfigurazio zahar bat aurkitzen duenak erantzun behar du baliogabetu zen edo soilik ezabatu zen, asmatu gabe, eta txarteleko taula labur batek hori egiten du.

Txartela itxi aurretik:

• bezeroen profilak kenduta edo ordezkatuta, gailu ezezagunak argituta
• peer-ak kenduta eta konfigurazioa berriro aplikatuta, edo ziurtagiriak baliogabetuta eta CRL argitaratuta
• direktorioko kontuak desgaituta, ez soilik tokiko fitxategiak ezabatuta
• zerbitzua desgaituta, ez da entzulerik geratu portu zaharrean
• suebakia, portu-berbidalketa, segurtasun-taldea eta DNS sarrerak kenduta
• babeskopiak etiketatuta, snapshota leheneratze-bideetatik kanpo
• monitorizazio eta automatizazio kredentzialak erretiratuta

Egiaztatu ordezkoa bereizita, inoiz profil zaharra izan ez zuen bezero batetik. Proba bakar horrek esaten dizu zerbitzu bat erretiratu zenuen edo arazoari izena aldatu besterik ez zenuen egin.