Hoe't men in VPN-tsjinner ôfslút sûnder tagong efter te litten

Jo klant ferbynt noch op 'e dei dat it ôfslútticket iepent. In profyl sit yn 'e app, it ûnderhannelt, en de tunnel komt omheech as wie der neat feroare. Dat is it momint om yn 'e tsjinoerstelde rjochting te wurkjen fan hoe't jo de tsjinst boud hawwe: begjin by de klantlist, gean nei bûten ta de listener, dan nei de firewall, en einigje mei de oanmeldgegevens dy't dat allegear oerlibje. De VM útsette is de lêste stap, net de earste. Dizze rûnlieding giet derfan út dat jo konsola-tagong ta de host hawwe en it rjocht om klantrecords en DNS te bewurkjen.

Gean earst de klantlist troch

Iepenje wat jo profylen ek ferspriedt en lês de list foardat jo de tsjinner oanreitsje. Elk item is in apparaat dat tinkt dat it tagong hat: tillefoans, laptops, in filiaalrouter, in container dy't nachts syngronisearret. Eksportearje dy list nei it ticket, want as de host fuort is, is der gjin wg show om jo te fertellen wa't ferbûn wie.

Sortearje elk apparaat as ferfangend einpunt, net mear nedich of ûnbekend. De ûnbekende bak is dejinge dy't telt, want dat binne de profylen dy't immen oer moannen yn in laad fine en besykje sil. Stjoer de melding op itselde kanaal dat jo foar tagongsferzoeken brûke, en set deryn in datum foar wannear't it âlde einpunt ophâldt te antwurdzjen.

Lûk de identiteit yn, net allinnich it bestân

Twa ferskillende aksjes hjitte beide yntrekken. Op WireGuard wurdt in peer allinnich autorisearre troch syn iepenbiere kaai dy't yn in peer-seksje mei in AllowedIPs-item ferskynt, dus it wiskjen fan it konfiguraasjebestân fan 'e laptop feroaret neat op 'e tsjinner. Ferwiderje it peer-blok en pas it bestân opnij ta sûnder de peers falle te litten dy't jo hâlde, sa't de wg(8)-hânlieding beskriuwt:

wg show
wg set wg0 peer <CLIENT_PUBLIC_KEY> remove
wg syncconf wg0 <(wg-quick strip wg0)

wg syncconf is it diel dat jo in ûnderhâldsfinstermiin besparret. It bout de ynterface op 'e nij op fanút it bestân op it plak sels, dus it ferwiderjen fan ien peer brekt de tunnel net del dy't alle oaren brûke. As jo de hiele host ôfslute ynstee fan ien peer, docht de folchoarder der noch ta, want dy kaaien kinne earne oars fertroud wêze.

By in X.509-opsetsel is de yntrekwstap it sertifikaat, net it bestân: openssl ca -revoke client.crt en dan openssl ca -gencrl -out crl.pem. Dat hat allinnich effekt dêr't de ferifiearder it lêst, wat betsjut dat in OpenVPN tsjinner mei crl-verify konfigurearre en dêrnei opnij laden. As dizze gateway de iennichste brûker fan dy CA is, hâldt de CRL op mei fan belang te wêzen op 'e dei dat er stjert; as deselde CA foar in twadde gateway tekent, bliuwt in sertifikaat dat jo nea yntrokken hawwe dêr wurkjen.

Akkounts binne it tredde gefal en it gefal dat it meast oerslein wurdt. Doe't de gateway him ferifiearre tsjin RADIUS, LDAP of in hoste identiteitsprovider, libbet it akkount bûten de VPN. Skeakelje it út yn 'e map. It wiskjen fan in brûkersstanza op 'e tsjinner lit in jildich oanmeldgegevens efter dat it ferfangende einpunt akseptearje sil op it momint dat it nei deselde map wiist.

Slút de listeners en de paden dêrhinne

Stopje de tsjinst op in manier dy't in werstart oerlibbet, en befestigje dan mei in socketlist ynstee fan 'e ienheidsstatus. systemctl disable --now wg-quick@wg0 stopet de ynterface en ferwidert de rûtes en regels dy't wg-quick tafoege; systemctl disable --now openvpn-server@server docht itselde foar in template-eksimplaar fan OpenVPN. Folgje beide mei ss -lunp en ss -ltnp. In leech resultaat foar de âlde poarte is it iennichste bewiis dat telt.

Wat wg-quick tafoege, ferwidert wg-quick. Wat jo mei de hân tafoege, bliuwt: in bliuwende NAT-regel, in firewalltastimming, in router-poartferwizing, in yngongsregel fan in wolkfeiligensgroep, in load-balancer-listener. Dy moatte eksplisyt ferwidere wurde, en sa ek it DNS-record, nammentlik de A, de AAAA en elke CNAME dy't nei de namme wiist. In namme dy't nei in deade host resolvet, mislearret oars as in namme dy't net resolvet, en dat ferskil sil immen in middei kostje.

De kopy dy't jo ferjitte is de kloon. In snapshot of in VM dy't fan back-up werombrocht is, hâldt noch de hostkaaien en de âlde peerlist, en as iets it weromhellet nei itselde adres, ferbine klanten har opnij mei in tsjinst dy't jo ôfsletten achtsje. Label de back-upset as hearrend by in ôftanke tsjinst en hâld it bûten automatyske weromsetpaden.

Sjoch efter wat noch nei it âlde einpunt wiist

Cached profylen oerlibje DNS. In bewarre konfiguraasje mei in numerysk adres bliuwt kieze nei't it record fuort is, en in altyd-oan klant besiket it opnij by elke netwurkferoaring. Dat is lûd en gjin tagong, want de listener is sletten, mar witte hokker fan 'e twa jo besjogge, beslút hoe't jo it ticket beantwurdzje.

Fei dan de ôfhinklikheden op dy't nimmen ûnder VPN opberget: uptime-kontrôles dy't de poarte betastje, back-uptaken dy't konfiguraasjes fan 'e host lutsen, automatisearringsgegevens om peer-items te triuwen, werstelakkounts dy't allinnich foar dit einpunt oanmakke binne. Elk is in tagongspaad mei syn eigen libbensdoer en syn eigen eigner, dus elk krijt in beslút ynstee fan in stil wiskjen.

Ferifiearje, en skriuw it dan op

It ôfsluten is dien as in test fan bûten mislearret op 'e manier dy't jo ferwachtsje. Fan in netwurk dat jo net beheare, ferbine jo mei it âlde adres en de poarte. In filtere of wegere resultaat is it súksesgefal. Befestigje yn 'e klantapp dat it profyl ferwidere is en net allinnich útskeakele, en dat gjin behearprofyl it stil wer tafoeget.

Skriuw dan op wat jo dien hawwe: einpunt, datum, yntrokken kaaien en sertifikaten, útskeakele akkounts, wêr't de back-ups libje. Wa't neist in âlde konfiguraasje fynt, moat antwurdzje kinne oft dy yntrokken of gewoan wiske is, sûnder te rieden, en in koarte tabel yn it ticket docht dat.

Foardat jo it ticket slute:

• klantprofylen ferwidere of ferfongen, ûnbekende apparaten oplost
• peers ferwidere en de konfiguraasje opnij tapast, of sertifikaten yntrokken en de CRL publisearre
• mapakkounts útskeakele, net allinnich lokale bestannen wiske
• tsjinst útskeakele, gjin listener oer op 'e âlde poarte
• firewall, poartferwizing, feiligensgroep en DNS-items ferwidere
• back-ups labele, snapshot bûten weromsetpaden
• monitoring- en automatisearringsgegevens ôfsletten

Ferifiearje de ferfanging apart, fan in klant dy't it âlde profyl nea hân hat. Dy iene test fertelt jo oft jo in tsjinst ôfsletten hawwe of allinnich it probleem omneamd hawwe.