Nola berreskuratu VPN zerbitzari bat identitateak bikoiztu gabe

Babeskopia berreskuratu zenuen, zerbitzua abiatu zen, eta bezero bat lehen saiakuntzan konektatu zen. Arrakasta hori da tranpa. Berreskuratzeak zerbitzariak une horretan zituen fitxategiak itzultzen ditu, ordutik aldatu den sarbide-egoera ez, eta mutur zaharra oraindik irisgarria bada, orain bi makina dituzu identitate bati erantzuten. Konponbidea ez da babeskopia hobea; konponbidea da erabakitzea zer izan daitekeen berreskuratutako ostalariak esku-emate bakarrari erantzun aurretik.

Babeskopia batek fitxategiak itzultzen ditu, ez autoritatea

Argazkiak zerbitzariaren konfigurazioa, gako pribatuak, ziurtagiri-autoritatea, parekoen zerrenda eta suebakiko arauak gordetzen ditu babeskopia exekutatu zenean zeuden bezala. Ezin du gero aldatu zena gorde: baliogabetu zenuen gailua, berriro jaulki zenuen gakoa, ordenagailu eramangarri bat saldu zenean kendu zenuen parea, lekuz aldatu zenuen azpisarea. Berreskuratzeak fitxategiak une horretara birbobina ditzake. Ez ditu birbobinatzen ordutik jendeak hartu dituen erabakiak.

Kaltea hutsune horretatik dator. Babeskopia eta bi aste geroago baliogabetutako ordenagailu eramangarri lapurtuak berreskuratutako zuhaitzeko CRL zaharraren aurka oraindik egiaztatzen den ziurtagiria aurkezten du, eta zerbitzariak erretiratu zenuen gailua onartzen du. WireGuard zuzenagoa da: parea zerrendatuta egoteagatik da baimendua, beraz argazkiaren ondoren ezabatutako parea berriro dago. Inork ez zuen sarbide hori berriro onartu. Fitxategi zaharrak egin zuen.

Zerbitzariaren identitatea eta bezeroaren identitatea modu ezberdinean huts egiten dute

WireGuard-en zerbitzariaren identitatea wg0.conf-eko gako pribatua da, beraz fitxategi hori bigarren ostalari irisgarri batera kopiatzeak identitate bereko bi zerbitzari sortzen ditu, elkarren berri ez dutenak. Bakoitzak bere parekoen zerrenda gordetzen du. Kendu parea ostalari berrian eta zaharrak oraindik onartzen du; egiaztatu wg show batean eta egiaren erdia ikusiko duzu. Bezeroak ere ez dira bere kabuz aldatzen: profilek Endpoint bat darama, beraz gailuak konfiguratu zen helbidearekin hitz egiten jarraitzen du, eta hori erretiratu nahi zenuen ostalaria izan daiteke.

OpenVPN geruza berean bikoizten da zerbitzari-ziurtagiri batekin, bere gako pribatuarekin eta tls-auth edo tls-crypt gako estatikoarekin. Kopiatu hirurak eta bezeroak ezingo ditu instantziak bereizi; biak irisgarriak badira, berriz konektatzeak edozeinetan lurreratu daiteke, eta erregistro-fitxategi bakoitzak istorio partziala kontatzen du. Ziurtagiri-autoritatea da kopiarik sakonena. Berreskuratutako easy-rsa zuhaitza egia-iturri bigarrena da, ematen diozun edozein izenetarako ziurtagiri baliozkoa jaulki dezakeena.

Bezeroak ere bikoizten dira, normalean migrazioa bera egiten ari zarela. Profila ordezko gailu batera kopiatzeak «probatzeko bakarrik» gako eta izen komun bereko bigarren gailua sortzen du. duplicate-cn-ekin bi saioak aldi berean egon daitezke bizirik, eta ccd edo ifconfig-pool-persist-eko helbide-esleipen estatikoak jatorrizko gailuarekin talka dezake. Bi makina dira identitate bakarra jantzita, eta zerbitzariaren konfigurazioan ezerk ez ditu bereizten.

Aukeratu hiru egoeretako bat mutur zaharretarako

Berreskuratzea segurua da mutur zaharren patua erabaki ondoren soilik. Erretiratu: zerbitzu zaharrak VPN ataka onartzeari utzi behar dio ostalari berria abiatu aurretik, eta makinara iristen ez bazara, blokeatu ataka hori sarearen ertzean zure administrazio-iturria ez den guztiarentzat. Konpondu ostalari bera: identitatea berrerabiltzea ondo dago makina batek gordetzen duelako, baina gero suntsitu gako zaharraren disko-kopia edo VM argazkia, ezin dadin itzuli. Eraiki erabilgarritasun pare bat: bi ostalarik ostalari-identitate ezberdinak behar dituzte eta mutur partekatu bat, hala nola helbide flotatzailea, karga-balantzatzailea edo mugi dezakezun DNSa. Gako pribatua kopiatzea ez da failover diseinua; izen bakarra aldarrikatzen duten bi zerbitzari dira.

Egiaztatu zein egoeratan zauden benetan bezeroak ukitu aurretik. VPN atakan erantzuten duen ostalari zaharra da baliogabetutako gailua onartuko duena, DNS mugitu bada ere. Egiaztatu entzuleak eta gako publikoa:

ss -lunp | grep -E ':51820|:1194'
wg show wg0
wg pubkey < /etc/wireguard/server.key

Adostu lehenik parekoak, baliogabetzeak eta helbideak

Zerrendatu berreskuratzeak zer dioen gaur egun baimenduta dagoenaren aurka. WireGuard-en wg show wg0-ek pareko bakoitzaren gakoa, muturra, azken esku-ematea eta transferentzia-kontagailuak ematen ditu, jada ez duzun gailu bat antzemateko adina. Kendu ezazu zuzenean wg set wg0 peer <key> remove-ekin, eta gero editatu konfigurazioa ere, bestela parea hurrengo abioan itzuliko da. wg show wg0 allowed-ips-ek bigarren arazoa agerian uzten du: bi pare helbide bakarrean, edo dagoeneko berriz esleitu duzun helbide bat.

OpenVPN-en baliogabetze-zerrenda data duen fitxategi bat da, eta berreskuratzeak zahar bat ekar dezake. Egiaztatu bezeroak konektatu aurretik:

openssl crl -in /etc/openvpn/crl.pem -noout -lastupdate -nextupdate
grep -E 'crl-verify|reneg-sec' /etc/openvpn/server.conf

Azken eguneraketa baliogabetzea baino lehenagokoa bada, zerbitzariak oraindik baliogabetu zenuen ziurtagiria errespetatzen du. OpenVPN 2.4 eta berriagoek CRL fitxategia berriro irakurtzen dute konexio berri bakoitzeko, beraz fitxategia ordezteak saio berriak gelditzen ditu, baina ezarritako tunelak negoziazio berrira arte irauten dute; reneg-sec-en lehenetsia 3600 segundo da, eta hura jaistea edo zerbitzua berrabiaraztea da aldaketa orain ematen dizuna. Bertsio zaharrek agian ez dute fitxategia hain fidagarri hartuko, beraz berrabiarazi bertsioaren portaera egiaztatu ezin duzunean. wg(8) eskuliburuak goian erabilitako pareak kentzeko eta allowed-ips sintaxia biltzen ditu.

Garbitu ere existitzen ez diren gailuen esleipen estatikoak. Erretiratutako gailu baten helbidea berri batentzat berrerabiltzeak, profil zaharra oraindik instalatuta dagoela, saihestu nahi duzun bikoizketa sortzen du zehazki.

Egiaztatu baliogabetu zenuen bezero batekin

Exekutatu egiaztapenak ordenan, tunelatik kanpoko sare batetik. Lehenik baimendutako gailu bat konektatzen da, DNSa bultzatutako resolveraren bidez ebazten du eta baliabide pribatu batera iristen da. Gero baliogabetutako gailuak huts egin behar du, duen profila erabiliz eta ez berri bat. Gero probatu mutur zaharra kanpotik: VPN atakak oraindik esku-emate bat osatzen badu, ostalari zaharra bizirik dago eta bikoizketa erreala da, ez teorikoa.

Berrabiarazi berreskuratutako ostalaria eta errepikatu baimendutako eta baliogabetutako egiaztapenak, orduan irabazten baitu konfigurazio-fitxategiak exekuzioan aldatu zenuenaren aurka. Konparatu ostalariaren gako publikoa edo ziurtagiriaren hatz-marka erretiratutako makinak erabili zuenarekin. Bi makina bizitan hatz-marka berdinak badaude, berreskuratzeak identitatea klonatu zuen; makina bakarrean hatz-marka berdinak ondo daude. Erregistratu berreskuratutako bertsioak, gakoen hatz-markak eta baliogabetutako serie-zenbakia edo pareko gakoa, eta gero hartu hurrengo babeskopia adiskidetze honen ondoren, zerbitzua orain den bezala irudika dezan. Funtzionatzen duen proba ez da bezero bat konektatzea. Proba da kendu zenuen bezeroa kanpoan geratzen dela mutur zaharra itxita dagoen bitartean.