ઓળખની નકલ કર્યા વિના VPN સર્વર કેવી રીતે પુનઃસ્થાપિત કરવો

તમે બૅકઅપ પુનઃસ્થાપિત કર્યું, સેવા શરૂ થઈ અને પ્રથમ પ્રયાસમાં જ એક ક્લાયન્ટ જોડાયો. એ સફળતા જ છટકું છે. પુનઃસ્થાપન સ્નેપશોટ વખતે સર્વર પાસે હતી તે ફાઇલો પરત આપે છે, ત્યારપછી બદલાયેલી ઍક્સેસ સ્થિતિ નહીં, અને જૂનો એન્ડપોઇન્ટ હજી પહોંચી શકાય તેવો હોય તો હવે એક ઓળખને જવાબ આપતા બે મશીન છે. ઉપાય વધુ સારું બૅકઅપ નથી; ઉપાય એ છે કે એક પણ હેન્ડશેકનો જવાબ આપે તે પહેલાં પુનઃસ્થાપિત હોસ્ટ શું હોઈ શકે તે નક્કી કરવું.

બૅકઅપ ફાઇલો પરત આપે છે, સત્તા નહીં

સ્નેપશોટમાં સર્વર રૂપરેખા, ખાનગી કી, પ્રમાણપત્ર સત્તાધિકારી, પીઅર યાદી અને ફાયરવોલ નિયમો એ સમયે હતા તે રીતે હોય છે. પછી બદલાયેલી વસ્તુ તેમાં હોઈ શકતી નથી: તમે રદ કરેલું ઉપકરણ, ફરી બહાર પાડેલી કી, લૅપટોપ વેચાતું ત્યારે દૂર કરેલો પીઅર, ખસેડેલું સબનેટ. પુનઃસ્થાપન ફાઇલોને તે ક્ષણે પાછી વાળે છે. લોકોએ ત્યારપછી લીધેલા નિર્ણયો પાછા વાળતું નથી.

નુકસાન બરાબર આ જ ખાલીપામાંથી આવે છે. બૅકઅપના બે અઠવાડિયા પછી રદ કરેલો ચોરાયેલો લૅપટોપ એવું પ્રમાણપત્ર રજૂ કરે છે જે પુનઃસ્થાપિત ઝાડના જૂના CRL સામે હજી માન્ય ગણાય છે, અને સર્વર તમે નિવૃત્ત કરેલું ઉપકરણ સ્વીકારે છે. WireGuard વધુ સ્પષ્ટ છે: પીઅર યાદીમાં હોવાથી અધિકૃત થાય છે, તેથી સ્નેપશોટ પછી કાઢી નાખેલો પીઅર ફરી હાજર હોય છે. કોઈએ એ ઍક્સેસ ફરી મંજૂર કરી નથી. જૂની ફાઇલે કર્યું.

સર્વરની ઓળખ અને ક્લાયન્ટની ઓળખ જુદી જુદી રીતે નિષ્ફળ જાય છે

WireGuardમાં સર્વરની ઓળખ wg0.conf ની ખાનગી કી છે, તેથી એ ફાઇલ બીજા પહોંચી શકાય તેવા હોસ્ટ પર નકલ કરવાથી એક જ ઓળખ ધરાવતા અને એકબીજાને ન જાણતા બે સર્વર બને છે. દરેક પોતાની પીઅર યાદી રાખે છે. નવા હોસ્ટ પર પીઅર દૂર કરો તો જૂનો હજી સ્વીકારે છે; એક પર wg show તપાસો અને અડધી સત્યતા દેખાય. ક્લાયન્ટ પણ જાતે બદલાતા નથી: પ્રોફાઇલ એક Endpoint ધરાવે છે, તેથી ઉપકરણ જે સરનામા સાથે રૂપરેખાંકિત થયું હતું તેની સાથે જ વાત કરે છે, જે તમે નિવૃત્ત કરવા માંગતા હતા તે હોસ્ટ પણ હોઈ શકે.

OpenVPN એ જ સ્તરે સર્વર પ્રમાણપત્ર, તેની ખાનગી કી અને tls-auth કે tls-crypt સ્થિર કી સાથે નકલ થાય છે. ત્રણેય નકલ કરો અને ક્લાયન્ટ નમૂનાઓ જુદા પાડી શકશે નહીં; બંને પહોંચી શકાય તેવા હોય તો ફરી જોડાવું કોઈપણ પર પડી શકે, અને દરેક લોગ ફાઇલ આંશિક વાર્તા કહે છે. પ્રમાણપત્ર સત્તાધિકારી વધુ ઊંડી નકલ છે. પુનઃસ્થાપિત easy-rsa ઝાડ બીજું સત્ય-સ્રોત છે જે તમે આપો તે કોઈપણ નામ માટે માન્ય પ્રમાણપત્ર બહાર પાડી શકે છે.

ક્લાયન્ટ પણ નકલ થાય છે, સામાન્ય રીતે સ્થળાંતર દરમિયાન જ. પ્રોફાઇલ ફક્ત કસોટી માટે વધારાના ઉપકરણ પર નકલ કરવાથી એ જ કી અને સામાન્ય નામ સાથે બીજું ઉપકરણ બને છે. duplicate-cn સાથે બંને સત્ર એકસાથે ચાલુ રહી શકે છે, અને ccd કે ifconfig-pool-persist માં સ્થિર સરનામા ફાળવણી મૂળ ઉપકરણ સાથે ટકરાઈ શકે છે. આ એક ઓળખ પહેરેલા બે મશીન છે, અને સર્વર રૂપરેખામાં કંઈ પણ તેમને જુદા પાડતું નથી.

જૂના એન્ડપોઇન્ટ માટે ત્રણમાંથી એક સ્થિતિ પસંદ કરો

જૂના એન્ડપોઇન્ટનું ભાવિ નક્કી થાય ત્યારે જ પુનઃસ્થાપન સુરક્ષિત છે. નિવૃત્ત કરો: નવો હોસ્ટ શરૂ થાય તે પહેલાં જૂની સેવાએ VPN પોર્ટ સ્વીકારવાનું બંધ કરવું જોઈએ, અને મશીન સુધી પહોંચી ન શકો તો એ પોર્ટ નેટવર્કની ધાર પર તમારા વહીવટી સ્રોત સિવાય બધા માટે અવરોધિત કરો. એ જ હોસ્ટ સુધારો: ઓળખનો ફરી ઉપયોગ ઠીક છે કારણ કે એક જ મશીન તેને ધરાવે છે, પણ પછી જૂની કીની ડિસ્ક નકલ કે VM સ્નેપશોટ નષ્ટ કરો જેથી તે પાછી ન આવે. ઉપલબ્ધતા જોડી બનાવો: બે હોસ્ટને અલગ હોસ્ટ ઓળખ અને એક સહિયારો એન્ડપોઇન્ટ જોઈએ, જેમ કે તરતું સરનામું, લોડ બૅલેન્સર કે ખસેડી શકાય તેવું DNS. ખાનગી કીની નકલ કરવી failover ડિઝાઇન નથી; તે એક નામ દાવો કરતા બે સર્વર છે.

ક્લાયન્ટને અડકો તે પહેલાં તમે ખરેખર કઈ સ્થિતિમાં છો તે નિશ્ચિત કરો. VPN પોર્ટ પર જવાબ આપતો જૂનો હોસ્ટ જ રદ કરેલા ઉપકરણને સ્વીકારશે, DNS ખસી ગયું હોય તો પણ. શ્રોતાઓ અને જાહેર કી તપાસો:

ss -lunp | grep -E ':51820|:1194'
wg show wg0
wg pubkey < /etc/wireguard/server.key

પહેલાં પીઅર, રદ અને સરનામાં સુમેળ કરો

પુનઃસ્થાપન શું દાવો કરે છે તે હાલ અધિકૃત વસ્તુ સામે યાદી બનાવો. WireGuardમાં wg show wg0 દરેક પીઅરની કી, એન્ડપોઇન્ટ, છેલ્લો હેન્ડશેક અને સ્થાનાંતરણ ગણક આપે છે, જે તમારી પાસે ન હોય તેવું ઉપકરણ પકડવા માટે પૂરતું છે. wg set wg0 peer <key> remove વડે તેને જીવંત દૂર કરો, પછી રૂપરેખા પણ સંપાદિત કરો, નહીં તો પીઅર આગલી શરૂઆતમાં પાછો આવશે. wg show wg0 allowed-ips બીજી સમસ્યા ઉજાગર કરે છે: એક સરનામા પર બે પીઅર, અથવા તમે પહેલેથી ફરી ફાળવેલું સરનામું.

OpenVPNમાં રદ યાદી તારીખ ધરાવતી ફાઇલ છે, અને પુનઃસ્થાપન જૂની પાછી લાવી શકે છે. ક્લાયન્ટ જોડાય તે પહેલાં તેને તપાસો:

openssl crl -in /etc/openvpn/crl.pem -noout -lastupdate -nextupdate
grep -E 'crl-verify|reneg-sec' /etc/openvpn/server.conf

જો છેલ્લું અપડેટ રદ પહેલાંનું હોય તો સર્વર હજી તમે રદ કરેલું પ્રમાણપત્ર માને છે. OpenVPN 2.4 અને પછીના દરેક નવા જોડાણ માટે CRL ફાઇલ ફરી વાંચે છે, તેથી ફાઇલ બદલવાથી નવાં સત્ર અટકે છે, પણ સ્થપાયેલા ટનલ ફરી વાટાઘાટ સુધી ટકે છે; reneg-sec નું મૂળભૂત મૂલ્ય 3600 સેકન્ડ છે, અને તેને ઘટાડવું કે સેવા ફરી શરૂ કરવી એ જ તમને આ બદલાવ તરત આપે છે. જૂની બિલ્ડ ફાઇલને એટલી વિશ્વસનીયતાથી ન ઉપાડે, તેથી આવૃત્તિનું વર્તન નિશ્ચિત ન કરી શકો ત્યારે ફરી શરૂ કરો. wg(8) માર્ગદર્શિકા ઉપર વપરાયેલ પીઅર દૂર કરવા અને allowed-ips વાક્યરચના આવરે છે.

હવે અસ્તિત્વમાં ન હોય તેવા ઉપકરણોની સ્થિર ફાળવણી પણ સાફ કરો. જૂની પ્રોફાઇલ હજી સ્થાપિત હોય ત્યારે નિવૃત્ત ઉપકરણનું સરનામું નવા માટે ફરી વાપરવાથી બરાબર એ જ નકલ બને છે જેને તમે ટાળવા માંગો છો.

તમે રદ કરેલા ક્લાયન્ટ સાથે ચકાસો

ટનલની બહારના નેટવર્કથી ક્રમમાં ચકાસણીઓ ચલાવો. પહેલાં અધિકૃત ઉપકરણ જોડાય છે, ધકેલાયેલા રિઝોલ્વર દ્વારા DNS ઉકેલે છે અને ખાનગી સ્રોત સુધી પહોંચે છે. પછી રદ કરેલું ઉપકરણ નવી પ્રોફાઇલને બદલે પોતાની હાલની પ્રોફાઇલ વાપરીને નિષ્ફળ જવું જોઈએ. પછી બહારથી જૂનો એન્ડપોઇન્ટ અજમાવો: VPN પોર્ટ હજી હેન્ડશેક પૂરો કરે તો જૂનો હોસ્ટ જીવંત છે અને નકલ સાચી છે, સૈદ્ધાંતિક નહીં.

પુનઃસ્થાપિત હોસ્ટ ફરી શરૂ કરો અને અધિકૃત તથા રદ ચકાસણીઓ ફરીથી કરો, કારણ કે ત્યારે જ રૂપરેખા ફાઇલ રનટાઇમમાં તમે બદલેલી વસ્તુ પર જીતે છે. હોસ્ટની જાહેર કી કે પ્રમાણપત્રની આંગળીની છાપની નિવૃત્ત મશીને વાપરેલી સાથે સરખામણી કરો. બે જીવંત મશીન પર મળતી છાપ એટલે પુનઃસ્થાપને ઓળખની નકલ કરી; એક મશીન પર મળતી છાપ ઠીક છે. પુનઃસ્થાપિત આવૃત્તિઓ, કીની છાપ અને રદ કરેલો ક્રમાંક કે પીઅર કી નોંધો, પછી આ સુમેળ પછી આગલું બૅકઅપ લો જેથી તે સેવાને હવે જેવી છે તેવી રજૂ કરે. કાર્યકારી કસોટી એ નથી કે ક્લાયન્ટ જોડાય. તે એ છે કે તમે દૂર કરેલો ક્લાયન્ટ બહાર રહે જ્યારે જૂનો એન્ડપોઇન્ટ બંધ રહે.