Como retirar un servidor VPN sen deixar acceso atrás

O seu cliente aínda se conecta o día en que se abre o ticket de retirada. Un perfil está na aplicación, negocia, e o túnel sobe coma se nada cambiase. Ese é o momento de traballar na dirección oposta a como construíu o servizo: comece pola lista de clientes, avance cara a fóra ata o oínte, logo ata a devasa e remate coas credenciais que sobreviven a todos eles. Apagar a VM é o último paso, non o primeiro. Este percorrido supón que ten acceso de consola ao host e a autoridade para editar rexistros de clientes e DNS.

Percorra primeiro a lista de clientes

Abra o que sexa que distribúa os seus perfís e lea a lista antes de tocar o servidor. Cada entrada é un dispositivo que cre ter acceso: teléfonos, portátiles, un router de sucursal, un contedor que se sincroniza cada noite. Exporte esa lista ao ticket, porque unha vez que o host desapareza non haberá ningún wg show que lle diga quen estaba conectado.

Clasifique cada dispositivo en punto final de substitución, xa non necesario ou descoñecido. O cubo dos descoñecidos é o que importa, xa que son os perfís que alguén atopará nun caixón dentro duns meses e probará. Envíe o aviso pola mesma canle que usa para as solicitudes de acceso e poña nel unha data para cando o punto final antigo deixe de responder.

Revogue a identidade, non só o ficheiro

Dúas accións distintas reciben ambas o nome de revogación. En WireGuard, un par só se autoriza pola súa clave pública que aparece nunha sección de par cunha entrada AllowedIPs, así que borrar o ficheiro de configuración do portátil non cambia nada no servidor. Elimine o bloque do par e volva aplicar o ficheiro sen deixar caer os pares que conserva, como describe o manual de wg(8):

wg show
wg set wg0 peer <CLIENT_PUBLIC_KEY> remove
wg syncconf wg0 <(wg-quick strip wg0)

wg syncconf é a parte que lle aforra unha xanela de mantemento. Reconstrúe a interface desde o ficheiro no seu sitio, así que eliminar un par non derruba o túnel que usan todos os demais. Se retira todo o host en lugar dun só par, a orde segue importando, porque esas claves poden ser de confianza noutro lugar.

Cunha configuración X.509 o paso de revogación é o certificado, non o ficheiro: openssl ca -revoke client.crt e logo openssl ca -gencrl -out crl.pem. Iso só ten efecto onde o verificador o le, o que significa que un OpenVPN servidor con crl-verify configurado e recargado despois. Se esta pasarela é o único consumidor desa CA, a CRL deixa de importar o día que morre; se a mesma CA asina para unha segunda pasarela, un certificado que nunca revogou segue funcionando alí.

As contas son o terceiro caso e o que máis a miúdo se omite. Cando a pasarela se autenticaba contra RADIUS, LDAP ou un provedor de identidade aloxado, a conta vive fóra da VPN. Desactívea no directorio. Borrar unha estanza de usuario no servidor deixa unha credencial válida que o punto final de substitución aceptará no momento en que apunte ao mesmo directorio.

Pecha os oíntes e os camiños ata eles

Detéñase o servizo dunha forma que sobreviva a un reinicio e logo confírmese cunha listaxe de sockets en lugar do estado da unidade. systemctl disable --now wg-quick@wg0 detén a interface e elimina as rutas e regras que engadiu wg-quick; systemctl disable --now openvpn-server@server fai o mesmo para unha instancia de OpenVPN con modelo. Seguiza calquera das dúas con ss -lunp e ss -ltnp. Un resultado baleiro para o porto antigo é a única proba que conta.

O que wg-quick engadiu, wg-quick quita. O que engadiu á man queda: unha regra NAT persistente, un permiso de devasa, un reenvío de porto do router, unha regra de entrada dun grupo de seguridade na nube, un oínte de balanceador de carga. Todos precisan unha eliminación explícita, e tamén o rexistro DNS, é dicir o A, o AAAA e calquera CNAME que apunte ao nome. Un nome que resolve a un host morto falla de forma distinta a un nome que non resolve, e esa diferenza custaralle unha tarde a alguén.

A copia que esquece é o clon. Unha instantánea ou unha VM restaurada desde unha copia de seguridade aínda garda as claves do host e a lista antiga de pares, e se algo a devolve ao mesmo enderezo, os clientes reconéctanse a un servizo que vostede cre retirado. Etiquete o conxunto de copias como pertencente a un servizo dado de baixa e mantéñao fóra das rutas de restauración automática.

Persiga o que aínda apunta ao punto final antigo

Os perfís en caché sobreviven ao DNS. Unha configuración gardada cun enderezo numérico segue marcando despois de que o rexistro desapareza, e un cliente sempre activo reintenta en cada cambio de rede. Iso é ruído e non acceso, porque o oínte está pechado, pero saber cal dos dous está a mirar decide como responde ao ticket.

Logo varra as dependencias que ninguén arquiva baixo VPN: comprobacións de dispoñibilidade que sondan o porto, tarefas de copia que extraían configuracións do host, credenciais de automatización usadas para empurrar entradas de pares, contas de recuperación creadas só para este punto final. Cada unha é unha ruta de acceso coa súa propia vida e o seu propio dono, así que cada unha recibe unha decisión en lugar dun borrado silencioso.

Verifique e logo anóteo

A retirada remata cando unha proba desde fóra falla tal como vostede espera. Desde unha rede que non controla, conéctese ao enderezo e ao porto antigos. Un resultado filtrado ou rexeitado é o caso de éxito. Na aplicación do cliente, confirme que o perfil se eliminou e non só se apagou, e que ningún perfil de xestión o volve engadir en silencio.

Logo rexistre o que fixo: punto final, data, claves e certificados revogados, contas desactivadas, onde viven as copias de seguridade. Quen atope despois unha configuración antiga necesita responder se se revogou ou só se borrou, sen adiviñar, e unha táboa breve no ticket conségueo.

Antes de pechar o ticket:

• perfís de cliente eliminados ou substituídos, dispositivos descoñecidos resoltos
• pares eliminados e a configuración reaplicada, ou certificados revogados e a CRL publicada
• contas do directorio desactivadas, non só ficheiros locais borrados
• servizo desactivado, ningún oínte queda no porto antigo
• devasa, reenvío de porto, grupo de seguridade e rexistros DNS eliminados
• copias de seguridade etiquetadas, instantánea excluída das rutas de restauración
• credenciais de monitorización e automatización retiradas

Verifique a substitución por separado, desde un cliente que nunca tivo o perfil antigo. Esa única proba dille se retirou un servizo ou só lle cambiou o nome ao problema.