પ્રવેશ પાછળ ન છોડીને VPN સર્વર કેવી રીતે નિવૃત્ત કરવો

જે દિવસે નિવૃત્તિ ટિકિટ ખૂલે તે દિવસે પણ તમારો ક્લાયન્ટ કનેક્ટ થાય છે. એપમાં એક પ્રોફાઇલ બેઠું છે, તે વાટાઘાટ કરે છે, અને ટનલ એવી રીતે ઉપર આવે છે જાણે કંઈ બદલાયું ન હોય. આ એ ક્ષણ છે જ્યારે તમે સેવા કેવી રીતે બનાવી હતી તેની વિરુદ્ધ દિશામાં કામ કરવાનું છે: ક્લાયન્ટ યાદીમાંથી શરૂ કરો, શ્રોતા તરફ બહાર જાઓ, પછી ફાયરવોલ તરફ, અને અંતે એ ક્રેડેન્શિયલ સાથે પૂર્ણ કરો જે તે બધાને ટકી રહે છે. VM બંધ કરવું એ છેલ્લું પગલું છે, પહેલું નહીં. આ માર્ગદર્શિકા ધારે છે કે તમારી પાસે હોસ્ટ પર કન્સોલ પ્રવેશ છે અને ક્લાયન્ટ રેકોર્ડ તથા DNS સંપાદિત કરવાનો અધિકાર છે.

પહેલા ક્લાયન્ટ યાદીમાંથી પસાર થાઓ

તમારી પ્રોફાઇલ વહેંચતું જે હોય તે ખોલો અને સર્વરને અડકતા પહેલા યાદી વાંચો. દરેક નોંધ એ એવું ઉપકરણ છે જે માને છે કે તેને પ્રવેશ છે: ફોન, લેપટોપ, શાખા રાઉટર, એક કન્ટેનર જે દરરોજ રાત્રે સિંક થાય છે. એ યાદી ટિકિટમાં નિકાસ કરો, કારણ કે હોસ્ટ ગયા પછી કોણ જોડાયેલું હતું તે કહેવા માટે કોઈ wg show રહેશે નહીં.

દરેક ઉપકરણને બદલીના અંતિમ બિંદુ, હવે જરૂરી નથી, કે અજાણ્યું — એમ વર્ગીકૃત કરો. અજાણ્યાની ડોલ એ મહત્વની છે, કારણ કે એ જ પ્રોફાઇલ છે જે કોઈ મહિનાઓ પછી ખાનામાં શોધીને અજમાવશે. પ્રવેશ વિનંતીઓ માટે વપરાતા એ જ ચેનલ પર સૂચના મોકલો, અને જૂનું અંતિમ બિંદુ ક્યારે જવાબ આપવાનું બંધ કરશે તે તારીખ તેમાં નાખો.

ઓળખ રદ કરો, ફક્ત ફાઇલ નહીં

બે અલગ ક્રિયાઓને બંનેને રદ કહેવાય છે. WireGuard પર, પીઅર ફક્ત તેની જાહેર કી દ્વારા અધિકૃત થાય છે જે AllowedIPs નોંધ સાથે પીઅર વિભાગમાં દેખાય છે, તેથી લેપટોપમાંથી કન્ફિગ ફાઇલ કાઢી નાખવાથી સર્વર પર કંઈ બદલાતું નથી. પીઅર બ્લોક દૂર કરો અને જે પીઅર રાખો છો તેમને પડતા મૂક્યા વિના ફાઇલ ફરી લાગુ કરો, જેમ wg(8) મેન્યુઅલ વર્ણવે છે:

wg show
wg set wg0 peer <CLIENT_PUBLIC_KEY> remove
wg syncconf wg0 <(wg-quick strip wg0)

wg syncconf એ ભાગ છે જે તમને જાળવણી વિન્ડો બચાવે છે. તે ફાઇલમાંથી ઇન્ટરફેસને તેની જગ્યાએ ફરી બનાવે છે, તેથી એક પીઅર દૂર કરવાથી બાકીના બધા વાપરતી ટનલ તૂટતી નથી. જો તમે એક પીઅરને બદલે આખું હોસ્ટ નિવૃત્ત કરો છો, તો ક્રમ હજી મહત્વનો છે, કારણ કે એ કીને બીજે ક્યાંક વિશ્વાસ હોઈ શકે છે.

X.509 સેટઅપ સાથે રદ કરવાનું પગલું ફાઇલ નહીં, પ્રમાણપત્ર છે: openssl ca -revoke client.crt અને પછી openssl ca -gencrl -out crl.pem. તેની અસર ફક્ત ત્યાં જ થાય છે જ્યાં ચકાસનાર તેને વાંચે છે, એટલે કે OpenVPN સર્વર જેમાં crl-verify ગોઠવાયેલું છે અને પછી ફરી લોડ કરાયું છે. જો આ ગેટવે એ CA નો એકમાત્ર વપરાશકર્તા હોય, તો તે મરે તે દિવસે CRL નું મહત્વ પૂરું થાય છે; જો એ જ CA બીજા ગેટવે માટે સહી કરે, તો તમે કદી રદ ન કરેલું પ્રમાણપત્ર ત્યાં કામ કરતું રહે છે.

ખાતાં ત્રીજો કિસ્સો છે અને સૌથી વધુ છોડી દેવાતો કિસ્સો છે. જ્યારે ગેટવે RADIUS, LDAP કે હોસ્ટેડ ઓળખ પ્રદાતા સામે પ્રમાણિત કરતું હતું, ત્યારે ખાતું VPN ની બહાર રહે છે. તેને ડિરેક્ટરીમાં નિષ્ક્રિય કરો. સર્વર પર વપરાશકર્તા સ્ટાન્ઝા કાઢી નાખવાથી એક માન્ય ક્રેડેન્શિયલ રહી જાય છે જે બદલીનું અંતિમ બિંદુ એ જ ડિરેક્ટરી તરફ ઇશારો કરે તે ક્ષણે સ્વીકારશે.

શ્રોતાઓ અને તેમના સુધીના માર્ગો બંધ કરો

સેવાને એવી રીતે રોકો જે રીબૂટમાં ટકી રહે, પછી યુનિટ સ્થિતિને બદલે સોકેટ યાદી સાથે ખાતરી કરો. systemctl disable --now wg-quick@wg0 ઇન્ટરફેસ રોકે છે અને wg-quick એ ઉમેરેલા રૂટ અને નિયમો દૂર કરે છે; systemctl disable --now openvpn-server@server ટેમ્પલેટ OpenVPN ઇન્સ્ટન્સ માટે એ જ કરે છે. બંનેમાંથી કોઈપણ પછી ss -lunp અને ss -ltnp ચલાવો. જૂના પોર્ટ માટે ખાલી પરિણામ એ જ એકમાત્ર પુરાવો છે જે ગણાય છે.

wg-quick એ જે ઉમેર્યું તે wg-quick દૂર કરે છે. તમે હાથે ઉમેર્યું તે રહે છે: કાયમી NAT નિયમ, ફાયરવોલ પરવાનગી, રાઉટર પોર્ટ-ફોરવર્ડ, ક્લાઉડ સિક્યોરિટી-ગ્રુપ ઇનગ્રેસ નિયમ, લોડ-બેલેન્સર શ્રોતા. આને સ્પષ્ટપણે દૂર કરવા પડે, અને DNS રેકોર્ડ પણ, એટલે કે A, AAAA અને નામ તરફ ઇશારો કરતું કોઈપણ CNAME. મૃત હોસ્ટ તરફ રિઝોલ્વ થતું નામ ન-રિઝોલ્વ થતા નામ કરતાં અલગ રીતે નિષ્ફળ જાય છે, અને એ તફાવત કોઈને એક બપોરનો ખર્ચ કરાવશે.

તમે ભૂલી જાઓ છો તે નકલ એ ક્લોન છે. બેકઅપમાંથી પુનઃસ્થાપિત સ્નેપશોટ કે VM હજી હોસ્ટ કી અને જૂની પીઅર યાદી રાખે છે, અને જો કંઈ તેને એ જ સરનામે પાછું લાવે, તો ક્લાયન્ટ એ સેવા સાથે ફરી જોડાય છે જે તમે નિવૃત્ત માનો છો. બેકઅપ સેટને નિવૃત્ત સેવાનો ગણીને લેબલ કરો અને તેને સ્વચાલિત પુનઃસ્થાપન માર્ગોની બહાર રાખો.

જૂના અંતિમ બિંદુ તરફ હજી ઇશારો કરતું હોય તેનો પીછો કરો

કેશ કરેલી પ્રોફાઇલ DNS કરતાં વધુ ટકે છે. આંકડાકીય સરનામા સાથેનું સાચવેલું કન્ફિગ રેકોર્ડ ગયા પછી પણ ડાયલ કરતું રહે છે, અને હંમેશા ચાલુ ક્લાયન્ટ દરેક નેટવર્ક ફેરફારે ફરી પ્રયાસ કરે છે. તે પ્રવેશ નહીં પણ ઘોંઘાટ છે, કારણ કે શ્રોતા બંધ છે, પણ તમે બેમાંથી કયું જોઈ રહ્યા છો તે જાણવું નક્કી કરે છે કે ટિકિટનો જવાબ કેવી રીતે આપશો.

પછી એ નિર્ભરતાઓ સાફ કરો જે કોઈ VPN હેઠળ પુરાવતું નથી: પોર્ટ તપાસતી અપટાઇમ ચકાસણીઓ, હોસ્ટમાંથી કન્ફિગ ખેંચતી બેકઅપ કામગીરી, પીઅર નોંધ ધકેલવા વપરાતા ઓટોમેશન ક્રેડેન્શિયલ, ફક્ત આ અંતિમ બિંદુ માટે બનાવેલા રિકવરી ખાતાં. દરેક પોતાના આયુષ્ય અને પોતાના માલિક સાથેનો પ્રવેશ માર્ગ છે, તેથી દરેકને શાંત ડિલીટને બદલે નિર્ણય મળે છે.

ચકાસો, પછી લખી રાખો

બહારથી કરેલી કસોટી તમે અપેક્ષા કરો તે રીતે નિષ્ફળ જાય ત્યારે નિવૃત્તિ પૂરી થાય છે. તમે નિયંત્રિત ન કરતા નેટવર્કમાંથી જૂના સરનામા અને પોર્ટ પર જોડાઓ. ફિલ્ટર થયેલું કે નકારાયેલું પરિણામ એ સફળતાનો કિસ્સો છે. ક્લાયન્ટ એપમાં ખાતરી કરો કે પ્રોફાઇલ બંધ નહીં પણ દૂર કરાઈ છે, અને કોઈ મેનેજમેન્ટ પ્રોફાઇલ તેને ચૂપચાપ ફરી ઉમેરતું નથી.

પછી તમે શું કર્યું તે નોંધો: અંતિમ બિંદુ, તારીખ, રદ કરેલી કી અને પ્રમાણપત્રો, નિષ્ક્રિય ખાતાં, બેકઅપ ક્યાં રહે છે. આગળ કોઈ જૂનું કન્ફિગ શોધે તો અનુમાન કર્યા વિના જવાબ આપવો પડે કે તે રદ થયું હતું કે ફક્ત કાઢી નાખ્યું હતું, અને ટિકિટમાં એક નાનું કોષ્ટક તે કરી આપે છે.

ટિકિટ બંધ કરતા પહેલા:

• ક્લાયન્ટ પ્રોફાઇલ દૂર કે બદલાયેલી, અજાણ્યા ઉપકરણો ઉકેલાયા
• પીઅર દૂર થયા અને કન્ફિગ ફરી લાગુ થયું, અથવા પ્રમાણપત્રો રદ થયા અને CRL પ્રકાશિત થયું
• ડિરેક્ટરી ખાતાં નિષ્ક્રિય, ફક્ત સ્થાનિક ફાઇલો કાઢી નહીં
• સેવા નિષ્ક્રિય, જૂના પોર્ટ પર કોઈ શ્રોતા બાકી નહીં
• ફાયરવોલ, પોર્ટ ફોરવર્ડ, સિક્યોરિટી ગ્રુપ અને DNS નોંધ દૂર
• બેકઅપ લેબલ થયા, સ્નેપશોટ પુનઃસ્થાપન માર્ગોમાંથી બહાર
• મોનિટરિંગ અને ઓટોમેશન ક્રેડેન્શિયલ નિવૃત્ત

બદલીને અલગથી ચકાસો, એવા ક્લાયન્ટથી જેણે કદી જૂની પ્રોફાઇલ રાખી ન હતી. એ એક જ કસોટી કહે છે કે તમે સેવા નિવૃત્ત કરી, કે ફક્ત સમસ્યાનું નામ બદલ્યું.