Ինչպես վերականգնել VPN սերվերը՝ առանց ինքնությունները կրկնօրինակելու

Դուք վերականգնեցիք պահուստային պատճենը, ծառայությունը մեկնարկեց, և հաճախորդը միացավ առաջին իսկ փորձից։ Այդ հաջողությունը թակարդն է։ Վերականգնումը վերադարձնում է այն ֆայլերը, որոնք սերվերն ուներ պահին, ոչ այն հասանելիության վիճակը, որը փոխվել է դրանից հետո, և եթե հին վերջնակետը դեռ հասանելի է, այժմ ունեք երկու մեքենա, որոնք պատասխանում են մեկ ինքնության։ Լուծումը ավելի լավ պահուստ չէ. լուծումը որոշելն է, թե ինչ կարող է լինել վերականգնված հոսթը, նախքան այն կպատասխանի նույնիսկ մեկ ձեռքսեղմման։

Պահուստը վերադարձնում է ֆայլեր, ոչ իշխանություն

Պատկերը պարունակում է սերվերի կոնֆիգուրացիան, մասնավոր բանալիները, վկայագրերի մարմինը, զուգընկերների ցանկը և հրայրի կանոնները այնպիսին, ինչպիսին եղել են պահուստի պահին։ Այն չի կարող պարունակել այն, ինչ փոխվել է հետո՝ չեղարկված սարքը, վերաթողարկված բանալին, զուգընկերը, որը հեռացրել եք նոութբուք վաճառելիս, տեղափոխված ենթացանցը։ Վերականգնումը ֆայլերը վերադարձնում է այդ պահին։ Այն չի վերադարձնում այն որոշումները, որոնք մարդիկ կայացրել են դրանից հետո։

Վնասը գալիս է հենց այդ բացից։ Գողացված նոութբուքը, որը չեղարկվել է պահուստից երկու շաբաթ անց, ներկայացնում է վկայագիր, որը դեռ հաստատվում է վերականգնված ծառի հին CRL-ի դեմ, և սերվերն ընդունում է սարք, որը դուք թոշակի եք ուղարկել։ WireGuard-ն ավելի ուղիղ է. զուգընկերը լիազորվում է ցանկում լինելով, ուստի պահից հետո ջնջված զուգընկերը պարզապես նորից առկա է։ Ոչ ոք նորից չհաստատեց այդ հասանելիությունը։ Հին ֆայլն արեց դա։

Սերվերի ինքնությունը և հաճախորդի ինքնությունը ձախողվում են տարբեր ձևերով

WireGuard-ում սերվերի ինքնությունը wg0.conf-ի մասնավոր բանալին է, ուստի այդ ֆայլը երկրորդ հասանելի հոսթ պատճենելը ստեղծում է նույն ինքնությամբ երկու սերվեր, որոնք իրար չեն ճանաչում։ Յուրաքանչյուրը պահում է իր զուգընկերների ցանկը։ Հեռացրեք զուգընկերոջը նոր հոսթում, և հինը դեռ ընդունում է նրան. ստուգեք wg show-ը մեկի վրա և կտեսնեք ճշմարտության կեսը։ Հաճախորդները նույնպես ինքնուրույն չեն անցնում. պրոֆիլը կրում է մեկ Endpoint, ուստի սարքը շարունակում է խոսել այն հասցեի հետ, որով կարգավորվել է, ինչը կարող է լինել այն հոսթը, որը ցանկանում էիք թոշակի ուղարկել։

OpenVPN-ը կրկնօրինակվում է նույն շերտում սերվերի վկայագրով, նրա մասնավոր բանալիով և tls-auth կամ tls-crypt ստատիկ բանալիով։ Պատճենեք երեքն էլ, և հաճախորդը չի կարողանա տարբերել օրինակները. եթե երկուսն էլ հասանելի են, վերամիացումը կարող է վայրէջք կատարել ցանկացածի վրա, և յուրաքանչյուր մատյան պատմում է մասնակի պատմություն։ Վկայագրերի մարմինն ավելի խորը պատճենն է։ Վերականգնված easy-rsa ծառը ճշմարտության երկրորդ աղբյուրն է, որը կարող է վավեր վկայագիր տրամադրել ձեր տված ցանկացած անվան համար։

Հաճախորդները նույնպես կրկնօրինակվում են, սովորաբար հենց միգրացիայի ընթացքում։ Պրոֆիլը պահեստային սարք պատճենելը «միայն փորձարկելու համար» ստեղծում է երկրորդ սարք նույն բանալիով և ընդհանուր անունով։ duplicate-cn-ի դեպքում երկու սեսիաները կարող են միաժամանակ բաց մնալ, և ստատիկ հասցեի նշանակումը ccd-ում կամ ifconfig-pool-persist-ում կարող է բախվել սկզբնական սարքի հետ։ Դա երկու մեքենա է մեկ ինքնությամբ, և սերվերի կոնֆիգուրացիայում ոչինչ չի տարբերում նրանց։

Հին վերջնակետի համար ընտրեք երեք վիճակներից մեկը

Վերականգնումը ապահով է միայն այն ժամանակ, երբ հին վերջնակետի ճակատագիրը որոշված է։ Թոշակի ուղարկեք. հին ծառայությունը պետք է դադարի ընդունել VPN պորտը նախքան նոր հոսթի մեկնարկը, և եթե չեք կարողանում հասնել մեքենային, արգելափակեք այդ պորտը ցանցի եզրին ամեն ինչի համար, բացի ձեր ադմինիստրատիվ աղբյուրից։ Վերանորոգեք նույն հոսթը. ինքնության վերաօգտագործումը լավ է, որովհետև մեկ մեքենա է պահում այն, բայց դրանից հետո ոչնչացրեք հին բանալու սկավառակի պատճենը կամ VM պատկերը, որպեսզի այն չկարողանա վերադառնալ։ Կառուցեք հասանելիության զույգ. երկու հոսթի համար անհրաժեշտ են առանձին հոսթ-ինքնություններ և մեկ ընդհանուր վերջնակետ, օրինակ լողացող հասցե, բեռնվածքի բալանսավորիչ կամ տեղափոխելի DNS։ Մասնավոր բանալին պատճենելը failover դիզայն չէ. դա մեկ անուն պահանջող երկու սերվեր է։

Համոզվեք, թե իրականում որ վիճակում եք, նախքան հաճախորդներին դիպչելը։ VPN պորտում պատասխանող հին հոսթն այն է, որը կընդունի չեղարկված սարքը, նույնիսկ եթե DNS-ը տեղափոխվել է։ Ստուգեք լսողները և հանրային բանալին.

ss -lunp | grep -E ':51820|:1194'
wg show wg0
wg pubkey < /etc/wireguard/server.key

Նախ համաձայնեցրեք զուգընկերներին, չեղարկումները և հասցեները

Թվարկեք, թե ինչ է պնդում վերականգնումը ներկայումս լիազորվածի դիմաց։ WireGuard-ում wg show wg0-ը տալիս է յուրաքանչյուր զուգընկերոջ բանալին, վերջնակետը, վերջին ձեռքսեղմումը և փոխանցման հաշվիչները, ինչը բավարար է ձեզ այլևս չպատկանող սարք նկատելու համար։ Հեռացրեք այն ուղիղ եթերում wg set wg0 peer <key> remove-ով, ապա խմբագրեք նաև կոնֆիգուրացիան, հակառակ դեպքում զուգընկերը կվերադառնա հաջորդ մեկնարկին։ wg show wg0 allowed-ips-ը բացահայտում է երկրորդ խնդիրը. երկու զուգընկեր մեկ հասցեի վրա, կամ հասցե, որը դուք արդեն վերանշանակել եք։

OpenVPN-ում չեղարկումների ցանկը ամսաթիվ ունեցող ֆայլ է, և վերականգնումը կարող է վերադարձնել հինը։ Ստուգեք այն նախքան հաճախորդների միանալը.

openssl crl -in /etc/openvpn/crl.pem -noout -lastupdate -nextupdate
grep -E 'crl-verify|reneg-sec' /etc/openvpn/server.conf

Եթե վերջին թարմացումը նախորդում է չեղարկմանը, սերվերը դեռ հարգում է վկայագիր, որը դուք չեղարկել եք։ OpenVPN 2.4-ը և ավելի նորերը վերընթերցում են CRL ֆայլը յուրաքանչյուր նոր միացման համար, ուստի ֆայլը փոխարինելը դադարեցնում է նոր սեսիաները, բայց հաստատված թունելները մնում են մինչև վերաբանակցում. reneg-sec-ի լռելյայնը 3600 վայրկյան է, և հենց այն նվազեցնելը կամ ծառայությունը վերագործարկելը ձեզ տալիս է փոփոխությունը հիմա։ Ավելի հին տարբերակները կարող են ֆայլը այդքան վստահելի չընկալել, ուստի վերագործարկեք, երբ չեք կարողանում հաստատել տարբերակի վարքը։ wg(8) ձեռնարկը ընդգրկում է վերևում օգտագործված զուգընկերոջ հեռացումը և allowed-ips շարահյուսությունը։

Մաքրեք նաև այլևս գոյություն չունեցող սարքերի ստատիկ նշանակումները։ Թոշակի ուղարկված սարքի հասցեն նորի համար վերաօգտագործելը, մինչ հին պրոֆիլը դեռ տեղադրված է, ստեղծում է հենց այն կրկնօրինակը, որը փորձում եք խուսափել։

Ստուգեք ձեր չեղարկած հաճախորդով

Կատարեք ստուգումները հերթով՝ թունելից դուրս գտնվող ցանցից։ Սկզբում լիազորված սարքը միանում է, լուծում DNS-ը մղված լուծիչի միջոցով և հասնում մասնավոր ռեսուրսի։ Այնուհետև չեղարկված սարքը պետք է ձախողվի՝ օգտագործելով իր առկա պրոֆիլը, ոչ նորը։ Այնուհետև փորձեք հին վերջնակետը դրսից. եթե VPN պորտը դեռ ավարտում է ձեռքսեղմումը, հին հոսթը կենդանի է, և կրկնօրինակումն իրական է, ոչ տեսական։

Վերագործարկեք վերականգնված հոսթը և կրկնեք լիազորված և չեղարկված ստուգումները, որովհետև հենց այդ ժամանակ կոնֆիգուրացիայի ֆայլը հաղթում է այն, ինչ փոխել եք գործարման ընթացքում։ Համեմատեք հոսթի հանրային բանալին կամ վկայագրի մատնահետքը այն բանի հետ, որն օգտագործել է թոշակի ուղարկված մեքենան։ Երկու կենդանի մեքենաների վրա համընկնող մատնահետքերը նշանակում են, որ վերականգնումը կլոնավորել է ինքնությունը. մեկ մեքենայի վրա համընկնող մատնահետքերը նորմալ են։ Գրանցեք վերականգնված տարբերակները, բանալիների մատնահետքերը և չեղարկված սերիական համարը կամ զուգընկերոջ բանալին, ապա վերցրեք հաջորդ պահուստը այս համաձայնեցումից հետո, որպեսզի այն ներկայացնի ծառայությունը այնպիսին, ինչպիսին այն հիմա է։ Աշխատող փորձարկումը այն չէ, որ հաճախորդը միանում է։ Այն է, որ հեռացված հաճախորդը դուրս է մնում, մինչ հին վերջնակետը փակ է մնում։