Conas freastalaí VPN a athchóiriú gan féiniúlachtaí a dhúbláil

D'athchóirigh tú an chúltaca, thosaigh an tseirbhís, agus cheangail cliant ar an gcéad iarracht. Is é an rath sin an gaiste. Tugann athchóiriú ar ais na comhaid a bhí ag an bhfreastalaí tráth an léargas, ní an staid rochtana atá athraithe ó shin, agus má tá an seanchríochphointe fós inrochtana tá dhá mheaisín agat anois a fhreagraíonn d'fhéiniúlacht amháin. Ní cúltaca níos fearr an réiteach; is é an réiteach ná cinneadh a dhéanamh cad is féidir leis an óstach athchóirithe a bheith sula bhfreagraíonn sé do chroitheadh láimhe amháin.

Tugann cúltaca comhaid ar ais, ní údarás

Coinníonn an léargas cumraíocht an fhreastalaí, na heochracha príobháideacha, an t-údarás deimhniúcháin, liosta na bpiaraí agus rialacha an bhalla dóiteáin mar a bhí siad nuair a ritheadh an cúltaca. Ní féidir leis an méid a d'athraigh ina dhiaidh sin a choinneáil: an gléas a chúlghair tú, an eochair a d'eisigh tú arís, an piara a bhain tú nuair a díoladh ríomhaire glúine, an foshlíonra a bhog tú. Déanann athchóiriú na comhaid a aisiompú go dtí an nóiméad sin. Ní dhéanann sé na cinntí a rinne daoine ó shin a aisiompú.

Tagann an damáiste go díreach ón mbearna sin. Cuireann ríomhaire glúine goidte a cúlghaireadh coicís tar éis an chúltaca deimhniúchán i láthair a bhailíochtaítear fós i gcoinne an CRL níos sine san crann athchóirithe, agus glacann an freastalaí le gléas a chuir tú ar scor. Tá WireGuard níos dírí: údaraítear piara trí bheith liostaithe, mar sin tá piara a scriosadh tar éis an léargais i láthair arís go simplí. Níor cheadaigh aon duine an rochtain sin arís. Rinne an seanchomhad é.

Teipeann féiniúlacht an fhreastalaí agus féiniúlacht an chliaint ar bhealaí éagsúla

Ar WireGuard is é féiniúlacht an fhreastalaí an eochair phríobháideach i wg0.conf, mar sin cruthaíonn cóipeáil an chomhaid sin chuig dara hóstach inrochtana dhá fhreastalaí a bhfuil an fhéiniúlacht chéanna acu agus nach bhfuil aithne acu ar a chéile. Coinníonn gach ceann a liosta piaraí féin. Bain piara ar an óstach nua agus glacann an seanfhreastalaí leis fós; seiceáil wg show ar cheann agus feicfidh tú leath na fírinne. Ní dhéanann na cliaint aistriú orthu féin ach an oiread: iompraíonn próifíl Endpoint amháin, mar sin leanann gléas ag labhairt leis an seoladh a cumraíodh é leis, rud a d'fhéadfadh a bheith mar an t-óstach a bhí ar intinn agat a chur ar scor.

OpenVPN dúbláiltear ar an gciseal céanna le deimhniúchán freastalaí, a eochair phríobháideach agus an eochair statach tls-auth nó tls-crypt. Cóipeáil an triúr agus ní féidir le cliant na cásanna a idirdhealú; má tá an dá cheann inrochtana, féadfaidh athcheangal teacht i dtír ar cheachtar, agus insíonn gach comhad loga scéal páirteach. Is é an t-údarás deimhniúcháin an chóip is doimhne. Is é crann easy-rsa athchóirithe an dara foinse fírinne ar féidir leis deimhniúchán bailí a eisiúint d'aon ainm a thugann tú dó.

Dúbláiltear cliaint freisin, de ghnáth le linn an imirce féin. Cruthaíonn cóipeáil próifíle chuig gléas breise «díreach le tástáil» dara gléas leis an eochair chéanna agus an t-ainm coiteann céanna. Le duplicate-cn féadfaidh an dá sheisiún fanacht suas le chéile, agus féadfaidh sannadh seoltaí statach in ccd nó ifconfig-pool-persist imbhuailt leis an ngléas bunaidh. Sin dhá mheaisín ag caitheamh féiniúlachta amháin, agus ní dhéanann aon rud i gcumraíocht an fhreastalaí idirdhealú eatarthu.

Roghnaigh ceann de thrí staid don seanchríochphointe

Níl athchóiriú sábháilte go dtí go gcinntear cinniúint an tseanchríochphointí. Cuir ar scor é: caithfidh an tseansheirbhís stopadh ag glacadh le port VPN sula dtosaíonn an t-óstach nua, agus mura féidir leat an meaisín a shroicheadh, cuir bac ar an bport sin ag imeall an líonra do gach rud seachas do fhoinse riaracháin. Deisigh an t-óstach céanna: tá athúsáid na féiniúlachta ceart toisc go bhfuil sí ag meaisín amháin, ach scrios an chóip diosca nó an léargas VM den seaneochair ina dhiaidh sin ionas nach féidir léi filleadh. Tóg péire infhaighteachta: teastaíonn féiniúlachtaí óstacha ar leith ó dhá óstach móide críochphointe comhroinnte amháin, mar sheoladh ar snámh, comhlaodóir nó DNS ar féidir leat a bhogadh. Ní dearadh failover é an eochair phríobháideach a chóipeáil; is dhá fhreastalaí iad ag éileamh ainm amháin.

Deimhnigh cén staid ina bhfuil tú i ndáiríre sula dteagmhálann tú le cliaint. Is é an seanóstach a fhreagraíonn ar phort VPN an ceann a ghlacfaidh leis an ngléas cúlghairthe, fiú má bhog DNS. Seiceáil na héisteoirí agus an eochair phoiblí:

ss -lunp | grep -E ':51820|:1194'
wg show wg0
wg pubkey < /etc/wireguard/server.key

Réitigh piaraí, cúlghairmeacha agus seoltaí ar dtús

Liostaigh a bhfuil á mhaíomh ag an athchóiriú i gcoinne a bhfuil údaraithe faoi láthair. Ar WireGuard tugann wg show wg0 eochair, críochphointe, an chroitheadh láimhe is déanaí agus áirimh aistrithe gach piara, rud a leor chun gléas nach bhfuil agat a thuiscint. Bain é beo le wg set wg0 peer <key> remove, ansin cuir an chumraíocht in eagar freisin, nó filleann an piara ag an gcéad tosú eile. Nochtann wg show wg0 allowed-ips an dara fadhb: dhá phiara ar sheoladh amháin, nó seoladh a athsann tú cheana.

Ar OpenVPN is comhad le dáta é an liosta cúlghairme, agus féadfaidh athchóiriú ceann sean a thabhairt ar ais. Seiceáil é sula gceanglaíonn cliaint:

openssl crl -in /etc/openvpn/crl.pem -noout -lastupdate -nextupdate
grep -E 'crl-verify|reneg-sec' /etc/openvpn/server.conf

Má tá an nuashonrú deireanach roimh an gcúlghairm, tá an freastalaí fós ag urramú deimhniúcháin a chúlghair tú. Léann OpenVPN 2.4 agus níos déanaí an comhad CRL arís do gach nasc nua, mar sin stopann athsholáthar an chomhaid seisiúin nua, ach maireann tolláin bhunaithe go dtí an t-athchaibidlíocht; is é 3600 soicind réamhshocrú reneg-sec, agus is é é a ísliú nó an tseirbhís a atosú a thugann an t-athrú duit anois. B'fhéidir nach nglacfaidh builds níos sine an comhad chomh hiontaofa sin, mar sin atosaigh nuair nach féidir leat iompar an leagan a dheimhniú. Clúdaíonn lámhleabhar wg(8) bhaint piaraí agus an chomhréir allowed-ips a úsáidtear thuas.

Glan freisin sannadh statach do ghléiseanna nach bhfuil ann a thuilleadh. Cruthaíonn athúsáid sheoladh gléis scortha do cheann nua agus an tseanphróifíl fós suiteáilte go díreach an dúbláil atá tú ag iarraidh a sheachaint.

Fíoraigh le cliant a chúlghair tú

Rith na seiceálacha in ord, ó líonra lasmuigh den tollán. Ar dtús ceanglaíonn gléas údaraithe, réitíonn sé DNS tríd an réiteoir brúite agus sroicheann sé acmhainn phríobháideach. Ansin caithfidh an gléas cúlghairthe teip, ag úsáid a phróifíle atá ann cheana seachas ceann nua. Ansin bain triail as an seanchríochphointe ón taobh amuigh: má chríochnaíonn port VPN croitheadh láimhe fós, tá an seanóstach beo agus tá an dúbláil fíor, ní teoiriciúil.

Atosaigh an t-óstach athchóirithe agus déan na seiceálacha údaraithe agus cúlghairthe arís, mar is ansin a sháraíonn an comhad cumraíochta an méid a d'athraigh tú ag am rite. Cuir eochair phoiblí nó méarlorg deimhniúcháin an óstaigh i gcomparáid leis an gceann a d'úsáid an meaisín scortha. Ciallaíonn méarloirg mheaitseála ar dhá mheaisín bheo gur chlón an t-athchóiriú an fhéiniúlacht; tá méarloirg mheaitseála ar mheaisín amháin ceart. Taifead na leaganacha athchóirithe, méarloirg na n-eochracha agus an tsraithuimhir nó an eochair phiara cúlghairthe, ansin tóg an chéad chúltaca eile tar éis an réitigh seo, ionas go léiríonn sé an tseirbhís mar atá sí anois. Ní hé an tástáil oibre go gceanglaíonn cliant. Is é go bhfanann an cliant a bhain tú amach agus an seanchríochphointe dúnta.