Yadda za a maido da uwar garken VPN ba tare da maimaita asali ba

Ka maido da ajiyar, sabis ɗin ya fara, kuma abokin ciniki ya haɗu a ƙoƙari na farko. Wannan nasarar ita ce tarko. Maido da shi yana dawo da fayilolin da uwar garken ke da su a lokacin hoto, ba yanayin shiga da ya canza tun daga nan ba, kuma idan tsohon ƙarshen ana iya isa gare shi kana da inji biyu da ke amsa asali ɗaya. Maganin ba shine mafi kyawun ajiya ba; shine yanke shawara abin da aka maido da shi zai iya zama kafin ya amsa musafaha ɗaya.

Ajiya tana dawo da fayiloli, ba iko ba

Hoton yana riƙe da tsarin uwar garke, makullan sirri, hukumar tabbatarwa, jerin abokan hulɗa da ka'idojin wutar bango kamar yadda suke lokacin da ajiyar ta gudana. Ba zai iya riƙe abin da ya canza bayan haka ba: na'urar da ka soke, makullin da ka sake bayarwa, abokin hulɗa da ka cire lokacin da aka sayar da kwamfutar hannu, cibiyar sadarwa da ka motsa. Maido da shi yana mayar da fayilolin zuwa wancan lokacin. Baya mayar da shawarwarin da mutane suka yanke tun daga nan.

Lalacewar tana zuwa daga wannan giɓi. Kwamfutar hannu da aka sace da aka soke makonni biyu bayan ajiyar tana gabatar da takardar shaida wadda har yanzu ake tabbatarwa da tsohuwar CRL a cikin itacen da aka maido, kuma uwar garken tana karɓar na'urar da ka yi ritaya. WireGuard ya fi kai tsaye: ana ba da izinin abokin hulɗa ta hanyar kasancewa a jerin, don haka abokin hulɗa da aka share bayan hoton yana nan kawai. Babu wanda ya sake amincewa da wannan damar. Tsohon fayil ɗin ya yi.

Asalin uwar garke da asalin abokin ciniki suna kasawa ta hanyoyi daban-daban

A WireGuard asalin uwar garken shine makullin sirri a cikin wg0.conf, don haka kwafin wannan fayil ɗin zuwa wata uwar garke mai isa yana haifar da uwar garke biyu masu asali ɗaya kuma ba su san juna ba. Kowanne yana riƙe da nasa jerin abokan hulɗa. Cire abokin hulɗa a sabuwar uwar garken kuma tsohuwar har yanzu tana karɓarsa; duba wg show a ɗaya ka ga rabin gaskiya. Abokan ciniki ma ba sa canzawa da kansu: bayanin yana ɗauke da Endpoint ɗaya, don haka na'ura tana ci gaba da magana da adireshin da aka saita ta da shi, wanda zai iya zama uwar garken da ka yi niyyar yin ritaya.

OpenVPN yana maimaituwa a wannan matakin da takardar shaidar uwar garke, makullin sirrinta da makullin tsaye na tls-auth ko tls-crypt. Kwafi duka uku kuma abokin ciniki ba zai iya bambanta su ba; idan duka biyu ana iya isa gare su, sake haɗuwa na iya sauka a kan kowane, kuma kowane fayil ɗin log yana ba da labari mara cikakke. Hukumar tabbatarwa ita ce kwafi mafi zurfi. Itacen easy-rsa da aka maido shine tushen gaskiya na biyu wanda zai iya bayar da takardar shaida mai inganci ga kowane suna da ka ba shi.

Abokan ciniki ma ana maimaita su, yawanci yayin ƙaura. Kwafin bayanin zuwa na'urar ajiya «don gwaji kawai» yana haifar da na'ura ta biyu da makulli ɗaya da suna gama gari. Da duplicate-cn duka zaman biyu na iya kasancewa a buɗe lokaci ɗaya, kuma rabon adireshi na tsaye a ccd ko ifconfig-pool-persist na iya yin karo da ainihin na'urar. Waɗannan inji biyu ne da ke sanye da asali ɗaya, kuma babu abin da ke bambanta su a cikin tsarin uwar garke.

Zaɓi ɗaya daga cikin yanayi uku ga tsohon ƙarshen

Maido da shi yana da aminci ne kawai bayan an yanke shawarar makomar tsohon ƙarshen. Yi ritaya da shi: tsohon sabis ɗin dole ya daina karɓar tashar VPN kafin sabuwar uwar garken ta fara, kuma idan ba za ka iya isa injin ba, toshe wannan tashar a gefen cibiyar sadarwa ga komai sai tushen gudanarwarka. Gyara wannan uwar garken: sake amfani da asalin yana da kyau domin inji ɗaya ke riƙe da shi, amma ka lalata kwafin faifai ko hoton VM na tsohon makullin bayan haka domin ba zai iya dawowa ba. Gina biyun samuwa: uwar garke biyu suna buƙatar asalin uwar garke daban da ƙarshen raba ɗaya, kamar adireshi mai yawo, mai daidaita nauyi ko DNS da za ka iya motsawa. Kwafin makullin sirri ba tsarin failover ba ne; uwar garke biyu ne da ke da'awar suna ɗaya.

Tabbatar da wane yanayi kake da gaske kafin ka taɓa abokan ciniki. Tsohon uwar garken da ke amsa a tashar VPN shine wanda zai karɓi na'urar da aka soke, ko da DNS ya motsa. Duba masu sauraro da makullin jama'a:

ss -lunp | grep -E ':51820|:1194'
wg show wg0
wg pubkey < /etc/wireguard/server.key

Da farko daidaita abokan hulɗa, sokewa da adireshi

Yi jerin abin da maido da shi ke da'awa a kan abin da aka ba da izini yanzu. A WireGuard wg show wg0 yana ba da makulli, ƙarshe, musafaha na ƙarshe da ƙididdigar canja wuri na kowane abokin hulɗa, wanda ya isa ka gano na'urar da ba ka mallake ta ba kuma. Cire shi a raye da wg set wg0 peer <key> remove, sannan ka gyara tsarin ma, in ba haka ba abokin hulɗa zai dawo a farkon na gaba. wg show wg0 allowed-ips yana bayyana matsala ta biyu: abokan hulɗa biyu a adireshi ɗaya, ko adireshin da ka riga ka sake rabawa.

A OpenVPN jerin sokewa fayil ne mai kwanan wata, kuma maido da shi na iya dawo da tsohon. Duba shi kafin abokan ciniki su haɗu:

openssl crl -in /etc/openvpn/crl.pem -noout -lastupdate -nextupdate
grep -E 'crl-verify|reneg-sec' /etc/openvpn/server.conf

Idan sabuntawa ta ƙarshe ta gabaci sokewar, uwar garken har yanzu tana girmama takardar shaidar da ka soke. OpenVPN 2.4 da baya suna sake karanta fayil ɗin CRL ga kowane sabon haɗi, don haka maye gurbin fayil ɗin yana tsayar da sabbin zaman, amma ramukan da aka kafa suna dawwama har sake tattaunawa; tsoho na reneg-sec shine 3600 daƙiƙa, kuma rage shi ko sake kunna sabis ɗin shine ke ba ka canjin yanzu. Tsofaffin builds na iya rashin ɗaukar fayil ɗin da wannan aminci, don haka sake kunnawa lokacin da ba za ka iya tabbatar da halin sigar ba. Jagorar wg(8) ta rufe cire abokin hulɗa da tsarin allowed-ips da aka yi amfani da su a sama.

Kuma share rabon tsaye ga na'urorin da ba su wanzu kuma. Sake amfani da adireshin na'urar da aka yi ritaya ga sabuwa yayin da tsohon bayanin ke nan da shi yana haifar da ainihin kwafin da kake ƙoƙarin gujewa.

Tabbatar da abokin ciniki da ka soke

Gudanar da gwaje-gwajen a tsari, daga cibiyar sadarwa a wajen rami. Da farko na'urar da aka ba da izini ta haɗu, ta warware DNS ta hanyar mai warwarewar da aka tura kuma ta isa wata hanya ta sirri. Sannan na'urar da aka soke dole ta kasa, tana amfani da bayaninta na yanzu maimakon sabo. Sannan gwada tsohon ƙarshen daga waje: idan tashar VPN har yanzu tana kammala musafaha, tsohon uwar garken yana raye kuma maimaitawar gaskiya ce, ba ta ka'ida ba.

Sake kunna uwar garken da aka maido kuma sake gwaje-gwajen izini da sokewa, domin a lokacin ne fayil ɗin tsari ke cin nasara a kan abin da ka canza a lokacin aiki. Kwatanta makullin jama'a ko sawun takardar shaidar uwar garken da wanda injin da aka yi ritaya ya yi amfani da shi. Sawu ɗaya a kan inji biyu masu rai na nufin maido da shi ya kwafi asalin; sawu ɗaya a kan inji ɗaya yana da kyau. Rubuta sigogin da aka maido, sawun makulli da lambar da aka soke ko makullin abokin hulɗa, sannan ka ɗauki ajiya ta gaba bayan wannan daidaitawa, domin ta wakilci sabis ɗin yadda yake yanzu. Gwajin aiki ba shine abokin ciniki ya haɗu ba. Shine abokin cinikin da ka cire ya kasance a waje yayin da tsohon ƙarshen ya kasance a rufe.