Conas freastalaí VPN a scor gan rochtain a fhágáil ina dhiaidh

Déanann do chliaint nasc fós ar an lá a osclaítear an ticéad scoir. Tá próifíl ina suí san fheidhmchlár, déanann sí idirbheartaíocht, agus éiríonn an tollán amhail is nár athraigh aon rud. Sin an nóiméad chun oibriú sa treo eile ón gcaoi ar thóg tú an tseirbhís: tosaigh ag liosta na gcliant, siúil amach chuig an éisteoir, ansin chuig an mballa dóiteáin, agus críochnaigh leis na dintiúir a mhaireann níos faide ná iad uile. Is é múchadh an VM an chéim dheireanach, ní an chéad cheann. Glactar leis an treoir seo go bhfuil rochtain consóil agat ar an óstach agus an t-údarás chun taifid chliaint agus DNS a chur in eagar.

Siúil liosta na gcliant ar dtús

Oscail cibé rud a dháileann do phróifílí agus léigh an liosta sula dteagmhálann tú leis an bhfreastalaí. Is gléas í gach iontráil a chreideann go bhfuil rochtain aici: fóin, ríomhairí glúine, ródaire brainse, coimeádán a shioncronú gach oíche. Easpórtáil an liosta sin isteach sa ticéad, mar a luaithe a bheidh an t-óstach imithe ní bheidh aon wg show ann a insíonn duit cé a bhí nasctha.

Sórtáil gach gléas ina chríochphointe athsholáthair, nach bhfuil ag teastáil a thuilleadh, nó anaithnid. Is é an buicéad anaithnid an ceann a bhfuil tábhacht leis, óir sin iad na próifílí a aimseoidh duine i ndrár tar éis míonna agus a thriailfidh sé. Seol an fógra ar an gcainéal céanna a úsáideann tú le haghaidh iarratas rochtana, agus cuir dáta ann don uair a stopfaidh an sean-chríochphointe ag freagairt.

Cúlghair an fhéiniúlacht, ní hamháin an comhad

Tugtar cúlghairm ar dhá ghníomh éagsúla araon. Ar WireGuard, ní údaraítear piara ach amháin trína eochair phoiblí a fheictear i rannóg piara le hiontráil AllowedIPs, mar sin ní athraíonn scriosadh an chomhaid chumraíochta ón ríomhaire glúine aon rud ar an bhfreastalaí. Bain an bloc piara agus cuir an comhad i bhfeidhm arís gan na piaraí a choinníonn tú a ligean chun siúil, mar a chuireann lámhleabhar wg(8) síos air:

wg show
wg set wg0 peer <CLIENT_PUBLIC_KEY> remove
wg syncconf wg0 <(wg-quick strip wg0)

wg syncconf an chuid a shábhálann fuinneog chothabhála duit. Atógann sé an comhéadan ón gcomhad ina áit, mar sin ní thiteann baint aon phiara amháin an tollán atá á úsáid ag gach duine eile. Má tá tú ag scor an óstaigh iomláin seachas piara amháin, tá an t-ordú fós tábhachtach, óir b'fhéidir go mbeadh muinín ag teastáil ó na heochracha sin in áit eile.

Le socrú X.509 is é an deimhniú an chéim chúlghairme, ní an comhad: openssl ca -revoke client.crt agus ansin openssl ca -gencrl -out crl.pem. Ní bhíonn éifeacht aige sin ach san áit a léann an fíoraitheoir é, rud a chiallaíonn go mbeidh OpenVPN freastalaí ann le crl-verify cumraithe agus athlódáilte ina dhiaidh sin. Más é an geata seo an t-aon tomhaltóir den CA sin, stopann an CRL de bheith tábhachtach an lá a fhaigheann sé bás; má shíníonn an CA céanna do dhara geata, leanann deimhniú nár chúlghair tú riamh ag obair ann.

Is iad na cuntais an tríú cás agus an ceann is mó a fhágtar ar lár. Nuair a rinne an geata fíordheimhniú in aghaidh RADIUS, LDAP nó soláthraí féiniúlachta óstáilte, maireann an cuntas lasmuigh den VPN. Díchumasaigh sa chomhadlann é. Má scriostar stanza úsáideora ar an bhfreastalaí, fágtar dintiúr bailí a ghlacfaidh an chríochphointe athsholáthair an nóiméad a dhíreoidh sé ar an gcomhadlann chéanna.

Dún na héisteoirí agus na cosáin chucu

Stop an tseirbhís ar bhealach a mhaireann trí atosú, ansin dearbhaigh le liosta soicéad seach le staid an aonaid. Stopann systemctl disable --now wg-quick@wg0 an comhéadan agus baineann sé na bealaí agus na rialacha a chuir wg-quick leis; déanann systemctl disable --now openvpn-server@server an rud céanna d'ásc teimpléid OpenVPN. Lean ceachtar acu le ss -lunp agus ss -ltnp. Is é toradh folamh don sean-phort an t-aon chruthúnas a chomhairtear.

An rud a chuir wg-quick leis, baineann wg-quick de. Fanann an rud a chuir tú leis de láimh: riail NAT mharthanach, cead balla dóiteáin, athsheoladh poirt ródaire, riail iontrála grúpa slándála néil, éisteoir cothromóra ualaigh. Caithfear iad sin a bhaint go sainráite, agus an taifead DNS freisin, is é sin an A, an AAAA agus aon CNAME a dhíríonn ar an ainm. Teipeann ainm a réitíonn chuig óstach marbh ar bhealach difriúil ó ainm nach réitíonn, agus cosnóidh an difríocht sin tráthnóna do dhuine éigin.

Is é an cóip a dhearmadann tú an clón. Coinníonn snapshpot nó VM a athchóiríodh ó chúltaca eochracha an óstaigh agus an sean-liosta piaraí fós, agus má thugann rud éigin ar ais chuig an seoladh céanna é, athnascann cliaint le seirbhís a gcreideann tú atá scortha. Lipéadaigh an tsraith chúltaca mar rud a bhaineann le seirbhís díchoimisiúnaithe agus coinnigh amach ó chosáin athchóirithe uathoibríocha é.

Téigh sa tóir ar an rud a dhíríonn fós ar an sean-chríochphointe

Maireann próifílí i dtaisce níos faide ná DNS. Leanann cumraíocht shábháilte le seoladh uimhriúil ag diailiú tar éis an taifead a bheith imithe, agus déanann cliant atá ar siúl i gcónaí iarracht arís ar gach athrú líonra. Is torann seach rochtain é sin, óir tá an t-éisteoir dúnta, ach cinneann a fhios agat cé acu den dá rud atá á fheiceáil agat conas a fhreagraíonn tú an ticéad.

Ansin scuab na spleáchais nach gcuireann éinne faoi VPN: seiceálacha ama beo a mhothaíonn an port, poist chúltaca a tharraing cumraíochtaí ón óstach, dintiúir uathoibrithe a úsáideadh chun iontrálacha piaraí a bhrú, cuntais athshlánaithe a cruthaíodh don chríochphointe seo amháin. Is cosán rochtana é gach ceann acu lena shaolré féin agus lena úinéir féin, mar sin faigheann gach ceann cinneadh seach scriosadh ciúin.

Fíoraigh, ansin scríobh síos é

Bíonn an scor críochnaithe nuair a theipeann tástáil ón taobh amuigh ar an mbealach a bhfuil súil agat leis. Ó líonra nach rialaíonn tú, nasc leis an seanseoladh agus an sean-phort. Is é toradh scagtha nó diúltaithe an cás rathúil. San fheidhmchlár cliaint, dearbhaigh gur baineadh an phróifíl seach í a mhúchadh, agus nach gcuireann aon phróifíl bhainistíochta ar ais go ciúin í.

Ansin taifead an rud a rinne tú: críochphointe, dáta, eochracha agus deimhnithe a cúlghaireadh, cuntais a díchumasaíodh, cá bhfuil na cúltacaí. Caithfidh duine ar bith a aimseoidh seanchumraíocht amach anseo freagairt ar cúlghaireadh é nó ar scriosadh é amháin, gan buille faoi thuairim, agus déanann tábla gearr sa ticéad é sin.

Sula ndúnfaidh tú an ticéad:

• próifílí cliaint bainte nó athsholáthair, gléasanna anaithnide réitithe
• piaraí bainte agus an chumraíocht curtha i bhfeidhm arís, nó deimhnithe cúlghairthe agus an CRL foilsithe
• cuntais chomhadlainne díchumasaithe, ní hamháin comhaid áitiúla scriosta
• seirbhís díchumasaithe, gan aon éisteoir fágtha ar an sean-phort
• balla dóiteáin, athsheoladh poirt, grúpa slándála agus iontrálacha DNS bainte
• cúltacaí lipéadaithe, snapshpot eisithe ó chosáin athchóirithe
• dintiúir mhonatóireachta agus uathoibrithe scortha

Fíoraigh an t-athsholáthar ar leithligh, ó chliant nár choinnigh an tseanphróifíl riamh. Insíonn an aon tástáil sin duit ar scor tú seirbhís nó ar athainmnigh tú an fhadhb amháin.