VPN-palvelimen käytöstä poisto jättämättä pääsyä taakse

Asiakkaasi yhdistää edelleen sinä päivänä, jona käytöstäpoistotiketti avataan. Sovelluksessa istuu profiili, se neuvottelee, ja tunneli nousee kuin mitään ei olisi muuttunut. Se on hetki työskennellä päinvastaiseen suuntaan kuin miten rakensit palvelun: aloita asiakasluettelosta, kulje ulospäin kuuntelijaan, sitten palomuuriin ja lopeta tunnistetietoihin, jotka elävät kaikkia niitä pidempään. VM:n sammuttaminen on viimeinen vaihe, ei ensimmäinen. Tämä läpikäynti olettaa, että sinulla on konsolipääsy isäntään ja valtuudet muokata asiakastietueita ja DNS:ää.

Käy ensin läpi asiakasluettelo

Avaa mikä tahansa profiilisi jakava asia ja lue luettelo ennen kuin kosket palvelinta. Jokainen merkintä on laite, joka uskoo, että sillä on pääsy: puhelimet, kannettavat, sivukonttorin reititin, kontti, joka synkronoituu joka yö. Vie luettelo tikettiin, sillä kun isäntä on poissa, ei ole wg show, joka kertoisi, kuka oli yhdistetty.

Lajittele jokainen laite korvaavaksi päätepisteeksi, ei enää tarpeen tai tuntemattomaksi. Tuntemattomien kori on se, jolla on merkitystä, sillä juuri ne profiilit joku löytää laatikosta kuukausien päästä ja kokeilee. Lähetä ilmoitus samassa kanavassa, jota käytät pääsypyyntöihin, ja laita siihen päivä, jolloin vanha päätepiste lakkaa vastaamasta.

Mitätöi identiteetti, ei vain tiedosto

Kahta eri toimea kutsutaan molempia mitätöinniksi. WireGuardissa vertaisella on valtuutus vain julkisen avaimensa kautta, joka esiintyy vertaisosassa AllowedIPs-merkinnällä, joten konfiguraatiotiedoston poistaminen kannettavasta ei muuta palvelimella mitään. Poista vertaislohko ja ota tiedosto uudelleen käyttöön pudottamatta niitä vertaisia, jotka pidät, kuten wg(8) käsikirja kuvaa:

wg show
wg set wg0 peer <CLIENT_PUBLIC_KEY> remove
wg syncconf wg0 <(wg-quick strip wg0)

wg syncconf on se osa, joka säästää huoltokatkon. Se rakentaa liittymän tiedostosta paikallaan, joten yhden vertaisen poisto ei revi tunnelia, jota kaikki muut käyttävät. Jos poistat käytöstä koko isännän etkä yhtä vertaista, järjestyksellä on silti merkitystä, koska noihin avaimiin saatetaan luottaa muualla.

X.509-asetelmassa mitätöintivaihe on varmente, ei tiedosto: openssl ca -revoke client.crt ja sitten openssl ca -gencrl -out crl.pem. Se vaikuttaa vain siellä, missä varmentaja lukee sen, mikä tarkoittaa, että OpenVPN palvelin, jossa crl-verify on määritetty ja ladattu sen jälkeen uudelleen. Jos tämä yhdyskäytävä on tuon CA:n ainoa kuluttaja, CRL lakkaa olemasta merkityksellinen sinä päivänä, kun se kuolee; jos sama CA allekirjoittaa toiselle yhdyskäytävälle, varmenne, jota et koskaan mitätöinyt, toimii siellä edelleen.

Tilit ovat kolmas tapaus ja useimmin ohitettu. Kun yhdyskäytävä todennettiin RADIUS-, LDAP- tai isännöityä identiteettitarjoajaa vasten, tili elää VPN:n ulkopuolella. Poista se käytöstä hakemistossa. Käyttäjäosuuden poistaminen palvelimelta jättää voimassa olevan tunnistetiedon, jonka korvaava päätepiste hyväksyy heti, kun se osoittaa samaan hakemistoon.

Sulje kuuntelijat ja polut niihin

Pysäytä palvelu tavalla, joka kestää uudelleenkäynnistyksen, ja vahvista sitten pistorasioiden luettelolla yksikön tilan sijaan. systemctl disable --now wg-quick@wg0 pysäyttää liittymän ja poistaa reitit ja säännöt, jotka wg-quick lisäsi; systemctl disable --now openvpn-server@server tekee saman mallipohjaiselle OpenVPN-instanssille. Seuraa kumpaa tahansa komennoilla ss -lunp ja ss -ltnp. Tyhjä tulos vanhalle portille on ainoa todiste, joka lasketaan.

Mitä wg-quick lisäsi, sen wg-quick poistaa. Mitä lisäsit käsin, jää: pysyvä NAT-sääntö, palomuurin sallinta, reitittimen portinohjaus, pilven tietoturvaryhmän saapumissääntö, kuormantasaimen kuuntelija. Ne vaativat nimenomaisen poiston, ja niin myös DNS-tietue, eli A, AAAA ja mikä tahansa nimeen osoittava CNAME. Nimi, joka ratkeaa kuolleeseen isäntään, epäonnistuu eri tavalla kuin nimi, joka ei ratkea, ja se ero maksaa jollekulle iltapäivän.

Kopio, jonka unohdat, on klooni. Varmuuskopiosta palautettu tilannevedos tai VM pitää yhä isännän avaimet ja vanhan vertaisluettelon, ja jos jokin tuo sen takaisin samaan osoitteeseen, asiakkaat yhdistävät uudelleen palveluun, jonka luulet poistetun käytöstä. Merkitse varmuuskopiosarja käytöstä poistettuun palveluun kuuluvaksi ja pidä se automaattisten palautuspolkujen ulkopuolella.

Jahtaa sitä, mikä osoittaa yhä vanhaan päätepisteeseen

Välimuistiin tallennetut profiilit elävät DNS:ää pidempään. Tallennettu kokoonpano, jossa on numeerinen osoite, soittaa edelleen tietueen kadottua, ja aina päällä oleva asiakas yrittää uudelleen jokaisella verkkmuutoksella. Se on kohinaa eikä pääsyä, koska kuuntelija on suljettu, mutta tieto siitä, kumpaa katsot, ratkaisee, miten vastaat tikettiin.

Harjaa sitten riippuvuudet, joita kukaan ei arkistoi VPN:n alle: käytettävyystarkistukset, jotka tunnustelevat porttia, varmuuskopiotyöt, jotka vetivät kokoonpanoja isännästä, automaatiotunnistetiedot, joilla työnnettiin vertaismerkintöjä, palautustilit, jotka luotiin vain tätä päätepistettä varten. Jokainen on pääsypolku omalla elinkaarellaan ja omistajallaan, joten jokainen saa päätöksen hiljaisen poiston sijaan.

Vahvista ja kirjoita se sitten ylös

Käytöstä poisto on valmis, kun ulkopuolelta tehty testi epäonnistuu odottamallasi tavalla. Yhdistä verkosta, jota et hallitse, vanhaan osoitteeseen ja porttiin. Suodatettu tai hylätty tulos on onnistumistapaus. Vahvista asiakassovelluksessa, että profiili poistettiin eikä vain kytketty pois, eikä mikään hallintaprofiili lisää sitä hiljaa takaisin.

Kirjaa sitten, mitä teit: päätepiste, päivämäärä, mitätöidyt avaimet ja varmenteet, poistetut tilit, missä varmuuskopiot ovat. Jokaisen, joka seuraavaksi löytää vanhan kokoonpanon, on vastattava, mitätöitiinkö se vai vain poistettiinko, arvaamatta, ja tiketin lyhyt taulukko tekee sen.

Ennen kuin suljet tiketin:

• asiakasprofiilit poistettu tai korvattu, tuntemattomat laitteet selvitetty
• vertaiset poistettu ja kokoonpano otettu uudelleen käyttöön, tai varmenteet mitätöity ja CRL julkaistu
• hakemistotilit poistettu käytöstä, ei vain paikallisia tiedostoja poistettu
• palvelu poistettu käytöstä, vanhalle portille ei jäänyt kuuntelijaa
• palomuuri, portinohjaus, tietoturvaryhmä ja DNS-merkinnät poistettu
• varmuuskopiot merkitty, tilannevedos jätetty pois palautuspoluilta
• valvonta- ja automaatiotunnistetiedot poistettu käytöstä

Vahvista korvaaja erikseen, asiakkaalta, jolla ei koskaan ollut vanhaa profiilia. Se yksi testi kertoo, poistitko palvelun käytöstä vai vain nimesit ongelman uudelleen.