Kako umiroviti VPN poslužitelj bez ostavljanja pristupa iza sebe

Vaš se klijent još povezuje na dan kad se otvori zahtjev za umirovljenje. Profil stoji u aplikaciji, pregovara, i tunel se diže kao da se ništa nije promijenilo. To je trenutak za rad u suprotnom smjeru od onoga kako ste izgradili uslugu: počnite s popisom klijenata, idite prema van do slušatelja, zatim do vatrozida, i završite s vjerodajnicama koje nadživljavaju sve njih. Isključivanje VM-a posljednji je korak, ne prvi. Ovaj vodič pretpostavlja da imate konzolni pristup hostu i ovlast za uređivanje klijentskih zapisa i DNS-a.

Najprije prođite popis klijenata

Otvorite sve što dijeli vaše profile i pročitajte popis prije nego dotaknete poslužitelj. Svaki je unos uređaj koji vjeruje da ima pristup: telefoni, prijenosna računala, podružni usmjerivač, kontejner koji se sinkronizira svake noći. Izvezite taj popis u zahtjev, jer kad host nestane, nema wg show koji će vam reći tko je bio povezan.

Razvrstajte svaki uređaj u zamjensku završnu točku, više nije potreban ili nepoznat. Nepoznata je kanta ona koja je važna, jer to su profili koje će netko pronaći u ladici za nekoliko mjeseci i isprobati. Pošaljite obavijest istim kanalom koji rabite za zahtjeve za pristup i u nju stavite datum kada stara završna točka prestaje odgovarati.

Opozvite identitet, ne samo datoteku

Dvije različite radnje obje se zovu opoziv. Na WireGuardu je peer ovlašten samo svojim javnim ključem koji se pojavljuje u peer odjeljku s unosom AllowedIPs, pa brisanje konfiguracijske datoteke s prijenosnika ne mijenja ništa na poslužitelju. Uklonite peer blok i ponovno primijenite datoteku bez ispuštanja peerova koje zadržavate, kako opisuje wg(8) priručnik:

wg show
wg set wg0 peer <CLIENT_PUBLIC_KEY> remove
wg syncconf wg0 <(wg-quick strip wg0)

wg syncconf je dio koji vam štedi prozor za održavanje. Obnavlja sučelje iz datoteke na mjestu, pa uklanjanje jednog peera ne ruši tunel koji svi ostali rabe. Ako umirujete cijeli host umjesto jednog peera, redoslijed je i dalje važan, jer se tim ključevima može vjerovati negdje drugdje.

Uz X.509 postavku korak opoziva je certifikat, ne datoteka: openssl ca -revoke client.crt i zatim openssl ca -gencrl -out crl.pem. To djeluje samo tamo gdje ga verifikator čita, što znači da OpenVPN poslužitelj s konfiguriranim crl-verify i naknadno ponovno učitanim. Ako je ovaj pristupnik jedini korisnik tog CA, CRL prestaje biti važan onog dana kad umre; ako isti CA potpisuje za drugi pristupnik, certifikat koji nikada niste opozvali nastavlja tamo raditi.

Računi su treći slučaj i onaj koji se najčešće preskače. Kad se pristupnik autentificirao putem RADIUS-a, LDAP-a ili hostanog davatelja identiteta, račun živi izvan VPN-a. Onemogućite ga u imeniku. Brisanje korisničke stanze na poslužitelju ostavlja valjanu vjerodajnicu koju će zamjenska završna točka prihvatiti onog trenutka kad pokaže na isti imenik.

Zatvorite slušatelje i putove do njih

Zaustavite uslugu na način koji preživljava ponovno pokretanje, pa potvrdite popisom socketa, a ne stanjem jedinice. systemctl disable --now wg-quick@wg0 zaustavlja sučelje i uklanja rute i pravila koja je wg-quick dodao; systemctl disable --now openvpn-server@server čini isto za predloženu OpenVPN instancu. Nakon bilo kojeg od njih pokrenite ss -lunp i ss -ltnp. Prazan rezultat za stari port jedini je dokaz koji se računa.

Što je wg-quick dodao, wg-quick i uklanja. Što ste dodali ručno ostaje: trajno NAT pravilo, dopuštenje vatrozida, prosljeđivanje porta na usmjerivaču, ulazno pravilo oblaka sigurnosne grupe, slušatelj balansera opterećenja. To treba izričito ukloniti, a tako i DNS zapis, to jest A, AAAA i svaki CNAME koji pokazuje na ime. Ime koje se razrješava u mrtav host ne uspijeva drukčije od imena koje se ne razrješava, a ta će razlika nekoga stajati poslijepodneva.

Kopija koju zaboravite jest klon. Snapshot ili VM vraćen iz sigurnosne kopije još drži ključeve hosta i stari popis peerova, a ako ga nešto vrati na istu adresu, klijenti se ponovno povezuju na uslugu koju smatrate umirovljenom. Označite sigurnosni set kao da pripada ugašenoj usluzi i držite ga izvan automatskih putova vraćanja.

Lovite što još pokazuje na staru završnu točku

Predmemorirani profili nadživljavaju DNS. Spremljena konfiguracija s numeričkom adresom nastavlja birati nakon što zapis nestane, a stalno uključen klijent ponovno pokušava pri svakoj promjeni mreže. To je šum, a ne pristup, jer je slušatelj zatvoren, ali znati na koju od tih dviju stvari gledate odlučuje kako odgovarate na zahtjev.

Zatim pročešljajte ovisnosti koje nitko ne arhivira pod VPN: provjere dostupnosti koje pipaju port, poslove sigurnosne kopije koji su vukli konfiguracije s hosta, automatizacijske vjerodajnice korištene za guranje peer unosa, račune za oporavak stvorene samo za ovu završnu točku. Svaka je pristupni put s vlastitim životnim vijekom i vlastitim vlasnikom, pa svaka dobiva odluku umjesto tihog brisanja.

Provjerite, pa zapišite

Umirovljenje je završeno kad test izvana padne onako kako očekujete. S mreže koju ne kontrolirate povežite se na staru adresu i port. Filtriran ili odbijen rezultat je uspjeh. U klijentskoj aplikaciji potvrdite da je profil uklonjen, a ne isključen, i da ga nijedan upravljački profil tiho ne dodaje ponovno.

Zatim zapišite što ste učinili: završna točka, datum, opozvani ključevi i certifikati, onemogućeni računi, gdje žive sigurnosne kopije. Tko sljedeći nađe staru konfiguraciju mora odgovoriti je li opozvana ili samo izbrisana, bez nagađanja, a kratka tablica u zahtjevu to čini.

Prije zatvaranja zahtjeva:

• klijentski profili uklonjeni ili zamijenjeni, nepoznati uređaji razriješeni
• peerovi uklonjeni i konfiguracija ponovno primijenjena, ili certifikati opozvani i CRL objavljen
• računi u imeniku onemogućeni, a ne samo lokalne datoteke izbrisane
• usluga onemogućena, nijedan slušatelj nije ostao na starom portu
• vatrozid, prosljeđivanje porta, sigurnosna grupa i DNS unosi uklonjeni
• sigurnosne kopije označene, snapshot isključen iz putova vraćanja
• nadzorne i automatizacijske vjerodajnice umirovljene

Provjerite zamjenu odvojeno, s klijenta koji nikada nije držao stari profil. Taj jedan test govori je li usluga umirovljena ili je samo problem preimenovan.