Ինչպես դուրս բերել VPN սերվերը շահագործումից՝ չթողնելով հասանելիություն

Ձեր հաճախորդը դեռ միանում է այն օրը, երբ բացվում է շահագործումից դուրս բերման տոմսը։ Հավելվածում նստած է պրոֆիլ, այն բանակցում է, և թունելը բարձրանում է այնպես, կարծես ոչինչ չի փոխվել։ Սա այն պահն է, երբ պետք է աշխատել ծառայությունը կառուցելու ուղղության հակառակ ուղղությամբ. սկսեք հաճախորդների ցանկից, գնացեք դուրս դեպի լսողը, ապա դեպի հրապարակ, և ավարտեք այն վկայականներով, որոնք ապրում են բոլորից երկար։ VM-ի անջատումը վերջին քայլն է, ոչ առաջինը։ Այս ուղեցույցը ենթադրում է, որ դուք ունեք վահանակի հասանելիություն հոսթին և հաճախորդի գրառումներն ու DNS-ը խմբագրելու լիազորություն։

Նախ անցեք հաճախորդների ցանկով

Բացեք այն ամենը, ինչ տարածում է ձեր պրոֆիլները, և կարդացեք ցանկը նախքան սերվերին դիպչելը։ Յուրաքանչյուր գրառում սարք է, որը կարծում է, թե հասանելիություն ունի. հեռախոսներ, նոթբուքեր, մասնաճյուղի երթուղիչ, կոնտեյներ, որ սինխրոնացվում է ամեն գիշեր։ Արտահանեք այդ ցանկը տոմսի մեջ, որովհետև հոսթի անհետանալուց հետո չի լինի wg show, որը կասի, թե ով էր միացած։

Դասակարգեք յուրաքանչյուր սարք որպես փոխարինող վերջնակետ, այլևս պետք չէ, կամ անհայտ։ Անհայտների զամբյուղն է կարևորը, որովհետև դրանք այն պրոֆիլներն են, որ ինչ-որ մեկը ամիսներ անց կգտնի դարակում և կփորձի։ Ուղարկեք ծանուցումը նույն ալիքով, որն օգտագործում եք հասանելիության հայտերի համար, և դրա մեջ դրեք ամսաթիվ, թե երբ հին վերջնակետը կդադարի պատասխանել։

Չեղարկեք ինքնությունը, ոչ միայն ֆայլը

Երկու տարբեր գործողություններն էլ կոչվում են չեղարկում։ WireGuard-ում peer-ը լիազորվում է միայն իր հանրային բանալիով, որը հայտնվում է peer բաժնում AllowedIPs գրառմամբ, ուստի նոթբուքից կոնֆիգուրացիայի ֆայլը ջնջելը սերվերի վրա ոչինչ չի փոխում։ Հեռացրեք peer բլոկը և նորից կիրառեք ֆայլը՝ չգցելով այն peer-երը, որոնք պահում եք, ինչպես նկարագրում է wg(8) ձեռնարկը՝

wg show
wg set wg0 peer <CLIENT_PUBLIC_KEY> remove
wg syncconf wg0 <(wg-quick strip wg0)

wg syncconf այն մասն է, որ խնայում է ձեզ սպասարկման պատուհան։ Այն ինտերֆեյսը վերակառուցում է ֆայլից տեղում, ուստի մեկ peer հեռացնելը չի քանդում թունելը, որն օգտագործում են բոլոր մյուսները։ Եթե դուք դուրս եք բերում ամբողջ հոսթը, այլ ոչ մեկ peer, հերթականությունը դեռ կարևոր է, որովհետև այդ բանալիներին կարող են վստահել այլ տեղ։

X.509 կարգավորման դեպքում չեղարկման քայլը վկայականն է, ոչ թե ֆայլը։ openssl ca -revoke client.crt և ապա openssl ca -gencrl -out crl.pem։ Դա ազդում է միայն այնտեղ, որտեղ ստուգողը կարդում է այն, ինչը նշանակում է, որ OpenVPN սերվեր, որտեղ crl-verify կարգավորված է և հետո վերաբեռնված։ Եթե այս դարպասը այդ CA-ի միակ սպառողն է, CRL-ը դադարում է կարևոր լինել այն օրը, երբ այն մահանում է. եթե նույն CA-ն ստորագրում է երկրորդ դարպասի համար, վկայականը, որը դուք երբեք չեք չեղարկել, շարունակում է աշխատել այնտեղ։

Հաշիվները երրորդ դեպքն են և ամենահաճախ բաց թողնվածը։ Երբ դարպասը նույնականացվում էր RADIUS-ի, LDAP-ի կամ հոսթինգային ինքնության մատակարարի դեմ, հաշիվը ապրում է VPN-ից դուրս։ Անջատեք այն գրացուցակում։ Սերվերի վրա օգտվողի ստանզան ջնջելը թողնում է վավեր հավատարմագրեր, որոնք փոխարինող վերջնակետը կընդունի այն պահին, երբ կուղղվի նույն գրացուցակին։

Փակեք լսողներին և դրանց տանող ուղիները

Կանգնեցրեք ծառայությունը այնպես, որ այն դիմանա վերագործարկմանը, ապա հաստատեք socket-ների ցանկով, ոչ թե միավորի վիճակով։ systemctl disable --now wg-quick@wg0-ը կանգնեցնում է ինտերֆեյսը և հեռացնում է wg-quick-ի ավելացրած երթուղիներն ու կանոնները. systemctl disable --now openvpn-server@server-ը նույնն է անում ձևանմուշային OpenVPN դեպքի համար։ Երկուսից հետո կատարեք ss -lunp և ss -ltnp։ Հին պորտի համար դատարկ արդյունքը միակ ապացույցն է, որ հաշվի է առնվում։

Ինչ wg-quick-ն ավելացրել է, wg-quick-ն էլ հեռացնում է։ Ինչ դուք ձեռքով եք ավելացրել, մնում է. մշտական NAT կանոն, հրապարակի թույլտվություն, երթուղիչի պորտի փոխանցում, ամպային անվտանգության խմբի ներգնա կանոն, բեռնվածքի հավասարակշռիչի լսող։ Դրանք պետք է հստակ հեռացնել, ինչպես նաև DNS գրառումը, այսինքն՝ A, AAAA և ցանկացած CNAME, որը ցույց է տալիս անվանը։ Մեռած հոսթի լուծվող անունը տարբեր կերպ է ձախողվում, քան չլուծվող անունը, և այդ տարբերությունը ինչ-որ մեկին կարժենա մի կեսօր։

Այն պատճենը, որը դուք մոռանում եք, կլոնն է։ Պահուստից վերականգնված snapshot-ը կամ VM-ը դեռ պահում է հոսթի բանալիներն ու հին peer ցանկը, և եթե ինչ-որ բան այն վերադարձնի նույն հասցեին, հաճախորդները նորից միանում են ծառայությանը, որը դուք համարում եք դուրս բերված։ Պիտակավորեք պահուստային հավաքածուն որպես դուրս բերված ծառայության պատկանող և պահեք այն ավտոմատ վերականգնման ուղիներից դուրս։

Հետապնդեք այն, ինչ դեռ ցույց է տալիս հին վերջնակետին

Քեշավորված պրոֆիլները ապրում են DNS-ից երկար։ Թվային հասցեով պահված կոնֆիգուրացիան շարունակում է զանգահարել գրառման անհետանալուց հետո, և մշտապես միացված հաճախորդը նորից փորձում է ցանցի յուրաքանչյուր փոփոխության ժամանակ։ Դա աղմուկ է, ոչ թե հասանելիություն, որովհետև լսողը փակ է, բայց իմանալը, թե դրանցից որին եք նայում, որոշում է, թե ինչպես կպատասխանեք տոմսին։

Ապա ավլեք այն կախվածությունները, որ ոչ ոք VPN-ի տակ չի արխիվացնում. աշխատաժամանակի ստուգումներ, որ շոշափում են պորտը, պահուստային աշխատանքներ, որ հոսթից քաշում էին կոնֆիգուրացիաներ, ավտոմատացման հավատարմագրեր, որոնք օգտագործվում էին peer գրառումները հրելու համար, վերականգնման հաշիվներ, որ ստեղծվել էին միայն այս վերջնակետի համար։ Յուրաքանչյուրը հասանելիության ուղի է իր կյանքով և իր տիրոջով, ուստի յուրաքանչյուրը ստանում է որոշում՝ լուռ ջնջելու փոխարեն։

Ստուգեք, ապա գրի առեք

Դուրս բերումն ավարտված է, երբ դրսից արված թեստը ձախողվում է այնպես, ինչպես սպասում եք։ Ձեր չվերահսկվող ցանցից միացեք հին հասցեին և պորտին։ Զտված կամ մերժված արդյունքը հաջողության դեպքն է։ Հաճախորդի հավելվածում հաստատեք, որ պրոֆիլը հեռացվել է, ոչ թե պարզապես անջատվել, և որ ոչ մի կառավարման պրոֆիլ լուռ չի ավելացնում այն նորից։

Ապա գրառեք, ինչ արեցիք. վերջնակետ, ամսաթիվ, չեղարկված բանալիներ և վկայականներ, անջատված հաշիվներ, որտեղ են պահուստները։ Ով հաջորդ անգամ գտնի հին կոնֆիգուրացիա, պետք է առանց գուշակելու պատասխանի՝ չեղարկվե՞լ է, թե պարզապես ջնջվել, և տոմսի կարճ աղյուսակը դա անում է։

Նախքան տոմսը փակելը՝

• հաճախորդի պրոֆիլները հեռացված կամ փոխարինված են, անհայտ սարքերը պարզաբանված
• peer-երը հեռացված են և կոնֿիգուրացիան նորից կիրառված, կամ վկայականները չեղարկված և CRL-ը հրապարակված
• գրացուցակի հաշիվները անջատված են, ոչ միայն տեղական ֆայլերը ջնջված
• ծառայությունն անջատված է, հին պորտում լսող չի մնացել
• հրապարակը, պորտի փոխանցումը, անվտանգության խումբը և DNS գրառումները հեռացված են
• պահուստները պիտակավորված են, snapshot-ը բացառված է վերականգնման ուղիներից
• մոնիտորինգի և ավտոմատացման հավատարմագրերը դուրս են բերված

Փոխարինողին ստուգեք առանձին, հաճախորդից, որը երբեք չի ունեցել հին պրոֆիլը։ Այդ մեկ թեստը ձեզ կասի՝ դուք ծառայությո՞ւն եք դուրս բերել, թե միայն վերանվանել եք խնդիրը։