VPN-kiszolgáló kivonása anélkül, hogy hozzáférést hagynánk magunk után

Az ügyfele még mindig csatlakozik azon a napon, amikor a kivonási jegy megnyílik. Egy profil ül az alkalmazásban, tárgyal, és az alagút úgy jön fel, mintha semmi sem változott volna. Ez az a pillanat, amikor a szolgáltatás építésével ellentétes irányban kell dolgozni: kezdje az ügyféllistánál, haladjon kifelé a figyelőig, majd a tűzfalig, és fejezze be azokkal a hitelesítő adatokkal, amelyek mindegyiküknél tovább élnek. A VM leállítása az utolsó lépés, nem az első. Ez az útmutató feltételezi, hogy rendelkezik konzolhozzáféréssel a gazdagéphez és jogosultsággal az ügyfélrekordok és a DNS szerkesztéséhez.

Először az ügyféllistát járja végig

Nyissa meg, ami a profiljait kiosztja, és olvassa el a listát, mielőtt hozzányúlna a kiszolgálóhoz. Minden bejegyzés egy eszköz, amely azt hiszi, hogy hozzáférése van: telefonok, laptopok, egy fiókrouter, egy konténer, amely minden éjjel szinkronizál. Exportálja ezt a listát a jegybe, mert ha a gazdagép eltűnik, nem lesz wg show, amely megmondaná, ki volt csatlakozva.

Sorolja be az egyes eszközöket csereterminál, már nem szükséges vagy ismeretlen kategóriába. Az ismeretlenek kosara a fontos, mert azok a profilok, amelyeket valaki hónapok múlva talál egy fiókban, és kipróbál. Küldje az értesítést ugyanazon a csatornán, amelyet a hozzáférési kérelmekhez használ, és tegyen bele dátumot arra, amikor a régi végpont abbahagyja a válaszadást.

Az identitást vonja vissza, ne csak a fájlt

Két különböző műveletet is visszavonásnak neveznek. A WireGuardnál egy peer csak a nyilvános kulcsa alapján jogosult, amely az AllowedIPs bejegyzéssel rendelkező peer szakaszban jelenik meg, így a konfigurációs fájl laptopról való törlése semmit sem változtat a kiszolgálón. Távolítsa el a peer blokkot, és alkalmazza újra a fájlt a megtartott peerek eldobása nélkül, ahogy a wg(8) kézikönyv leírja:

wg show
wg set wg0 peer <CLIENT_PUBLIC_KEY> remove
wg syncconf wg0 <(wg-quick strip wg0)

wg syncconf az a rész, amely megspórol egy karbantartási ablakot. Helyben építi újra a csatolót a fájlból, így egy peer eltávolítása nem szakítja le az alagutat, amelyet mindenki más használ. Ha a teljes gazdagépet vonja ki egy peer helyett, a sorrend továbbra is számít, mert azokban a kulcsokban máshol is megbízhatnak.

X.509 beállításnál a visszavonás lépése a tanúsítvány, nem a fájl: openssl ca -revoke client.crt, majd openssl ca -gencrl -out crl.pem. Ennek csak ott van hatása, ahol az ellenőrző olvassa, ami azt jelenti, hogy egy OpenVPN kiszolgáló, ahol a crl-verify be van állítva, és utána újra van töltve. Ha ez az átjáró az egyetlen fogyasztója annak a CA-nak, a CRL azon a napon veszíti el jelentőségét, amikor meghal; ha ugyanaz a CA egy második átjáró számára ír alá, egy soha vissza nem vont tanúsítvány ott tovább működik.

A fiókok a harmadik eset, és a leggyakrabban kihagyott eset. Amikor az átjáró RADIUS, LDAP vagy hosztolt identitásszolgáltató ellen hitelesített, a fiók a VPN-en kívül él. Tiltsa le a címtárban. Egy felhasználói stanza törlése a kiszolgálón érvényes hitelesítő adatot hagy, amelyet a csereterminál abban a pillanatban elfogad, amikor ugyanarra a címtárra mutat.

Zárja be a figyelőket és a hozzájuk vezető utakat

Állítsa le a szolgáltatást úgy, hogy túléljen egy újraindítást, majd socketlistával igazolja, ne az egység állapotával. A systemctl disable --now wg-quick@wg0 leállítja a csatolót, és eltávolítja a wg-quick által hozzáadott útvonalakat és szabályokat; a systemctl disable --now openvpn-server@server ugyanezt teszi egy sablonos OpenVPN-példányhoz. Kövesse bármelyiket a ss -lunp és a ss -ltnp paranccsal. A régi portra adott üres eredmény az egyetlen bizonyíték, amely számít.

Amit a wg-quick hozzáadott, azt a wg-quick eltávolítja. Ami kézzel adott hozzá, az megmarad: állandó NAT-szabály, tűzfalengedély, router-porttovábbítás, felhő biztonsági csoport bejövő szabálya, terheléselosztó figyelő. Ezeket kifejezetten el kell távolítani, és a DNS-rekordot is, azaz az A, az AAAA és bármely CNAME, amely a névre mutat. A halott gazdagépre feloldódó név másképp hibázik, mint a fel nem oldódó név, és ez a különbség valakinek egy délutánjába kerül.

Az a másolat, amelyet elfelejt, a klón. Egy biztonsági mentésből visszaállított pillanatkép vagy VM még mindig őrzi a gazdagép kulcsait és a régi peerlistát, és ha valami ugyanarra a címre hozza vissza, az ügyfelek újracsatlakoznak egy szolgáltatáshoz, amelyet kivontnak hisz. Címkézze meg a biztonsági készletet a leszerelt szolgáltatáshoz tartozóként, és tartsa távol az automatikus visszaállítási útvonalaktól.

Keresse, ami még a régi végpontra mutat

A gyorsítótárazott profilok túlélik a DNS-t. A numerikus címmel mentett konfiguráció tovább tárcsáz, miután a rekord eltűnt, és az állandóan bekapcsolt ügyfél minden hálózatváltáskor újrapróbálkozik. Ez zaj, nem hozzáférés, mert a figyelő zárva van, de tudni, melyiket nézi, eldönti, hogyan válaszol a jegyre.

Ezután sepregesse végig a VPN alá nem sorolt függőségeket: a portot tapogató rendelkezésre állási ellenőrzések, a gazdagépről konfigurációkat húzó biztonsági mentési feladatok, a peer-bejegyzések továbbítására használt automatizálási hitelesítő adatok, a csak erre a végpontra létrehozott helyreállítási fiókok. Mindegyik hozzáférési útvonal a saját élettartamával és saját tulajdonosával, ezért mindegyik döntést kap a csendes törlés helyett.

Ellenőrizze, majd írja le

A kivonás akkor ér véget, amikor egy kívülről jövő teszt úgy hibázik, ahogy várja. Egy általa nem vezérelt hálózatról csatlakozzon a régi címhez és portra. A szűrt vagy elutasított eredmény a sikeres eset. Az ügyfélalkalmazásban igazolja, hogy a profil eltávolításra került, nem csak kikapcsolásra, és hogy semmilyen kezelési profil nem adja hozzá csendesen újra.

Ezután rögzítse, mit tett: végpont, dátum, visszavont kulcsok és tanúsítványok, letiltott fiókok, hol vannak a biztonsági mentések. Aki legközelebb régi konfigurációt talál, találgatás nélkül válaszoljon, visszavonták-e vagy csak törölték, és egy rövid táblázat a jegyben ezt megteszi.

A jegy lezárása előtt:

• az ügyfélprofilok eltávolítva vagy lecserélve, az ismeretlen eszközök tisztázva
• a peerek eltávolítva és a konfiguráció újra alkalmazva, vagy a tanúsítványok visszavonva és a CRL közzétéve
• a címtárfiókok letiltva, nem csak a helyi fájlok törölve
• a szolgáltatás letiltva, a régi porton nem maradt figyelő
• a tűzfal, a porttovábbítás, a biztonsági csoport és a DNS-bejegyzések eltávolítva
• a biztonsági mentések címkézve, a pillanatkép kizárva a visszaállítási útvonalakból
• a megfigyelési és automatizálási hitelesítő adatok kivonva

A cserét külön ellenőrizze, egy olyan ügyféltől, amely soha nem tartotta a régi profilt. Az az egyetlen teszt megmondja, kivont-e egy szolgáltatást, vagy csak átnevezte a problémát.