Cara memensiunkan server VPN tanpa meninggalkan akses

Klien Anda masih tersambung pada hari tiket pensiun dibuka. Sebuah profil duduk di aplikasi, ia bernegosiasi, dan terowongan naik seolah tidak ada yang berubah. Itulah saatnya bekerja ke arah sebaliknya dari cara Anda membangun layanan: mulai dari daftar klien, bergerak keluar ke listener, lalu ke firewall, dan akhiri dengan kredensial yang hidup lebih lama dari semuanya. Mematikan VM adalah langkah terakhir, bukan yang pertama. Panduan ini mengasumsikan Anda memiliki akses konsol ke host dan wewenang untuk menyunting catatan klien serta DNS.

Telusuri daftar klien lebih dulu

Buka apa pun yang mendistribusikan profil Anda dan baca daftarnya sebelum menyentuh server. Setiap entri adalah perangkat yang percaya bahwa ia punya akses: ponsel, laptop, router cabang, kontainer yang menyinkronkan tiap malam. Ekspor daftar itu ke tiket, karena setelah host hilang tidak ada wg show yang memberi tahu siapa yang pernah tersambung.

Urutkan setiap perangkat menjadi endpoint pengganti, tidak diperlukan lagi, atau tidak dikenal. Keranjang tidak dikenal adalah yang penting, karena itulah profil yang akan ditemukan seseorang di laci berbulan-bulan kemudian dan dicoba. Kirim pemberitahuan di kanal yang sama yang Anda pakai untuk permintaan akses, dan cantumkan tanggal kapan endpoint lama berhenti menjawab.

Cabut identitasnya, bukan hanya filenya

Dua tindakan berbeda sama-sama disebut pencabutan. Di WireGuard, peer hanya diotorisasi oleh kunci publiknya yang muncul di bagian peer dengan entri AllowedIPs, jadi menghapus berkas konfigurasi dari laptop tidak mengubah apa pun di server. Hapus blok peer dan terapkan ulang berkasnya tanpa menjatuhkan peer yang Anda pertahankan, seperti yang dijelaskan manual wg(8):

wg show
wg set wg0 peer <CLIENT_PUBLIC_KEY> remove
wg syncconf wg0 <(wg-quick strip wg0)

wg syncconf adalah bagian yang menghemat jendela pemeliharaan. Ia membangun ulang antarmuka dari berkas di tempatnya, sehingga menghapus satu peer tidak meruntuhkan terowongan yang dipakai semua orang. Jika Anda memensiunkan seluruh host alih-alih satu peer, urutannya tetap penting, karena kunci itu mungkin dipercaya di tempat lain.

Dengan penyiapan X.509, langkah pencabutan adalah sertifikat, bukan berkas: openssl ca -revoke client.crt lalu openssl ca -gencrl -out crl.pem. Itu hanya berefek di tempat verifikator membacanya, yang berarti OpenVPN server dengan crl-verify dikonfigurasi dan dimuat ulang sesudahnya. Jika gateway ini satu-satunya konsumen CA itu, CRL berhenti penting pada hari ia mati; jika CA yang sama menandatangani gateway kedua, sertifikat yang tidak pernah Anda cabut tetap bekerja di sana.

Akun adalah kasus ketiga dan yang paling sering dilewatkan. Saat gateway mengautentikasi terhadap RADIUS, LDAP, atau penyedia identitas terkelola, akun itu hidup di luar VPN. Nonaktifkan di direktori. Menghapus stanza pengguna di server menyisakan kredensial yang sah yang akan diterima endpoint pengganti begitu ia menunjuk ke direktori yang sama.

Tutup listener dan jalur menuju ke sana

Hentikan layanan dengan cara yang bertahan setelah reboot, lalu pastikan dengan daftar socket alih-alih status unit. systemctl disable --now wg-quick@wg0 menghentikan antarmuka dan menghapus rute serta aturan yang ditambahkan wg-quick; systemctl disable --now openvpn-server@server melakukan hal yang sama untuk instans OpenVPN berbasis templat. Ikuti keduanya dengan ss -lunp dan ss -ltnp. Hasil kosong untuk port lama adalah satu-satunya bukti yang berlaku.

Apa yang ditambahkan wg-quick, wg-quick yang menghapusnya. Apa yang Anda tambahkan dengan tangan tetap ada: aturan NAT permanen, izin firewall, penerusan port router, aturan masuk grup keamanan cloud, listener penyeimbang beban. Semuanya perlu dihapus secara eksplisit, begitu juga catatan DNS, yaitu A, AAAA, dan CNAME apa pun yang menunjuk ke nama itu. Nama yang me-resolve ke host mati gagal dengan cara berbeda dari nama yang tidak me-resolve, dan perbedaan itu akan menghabiskan satu sore seseorang.

Salinan yang Anda lupakan adalah klon. Snapshot atau VM yang dipulihkan dari cadangan masih menyimpan kunci host dan daftar peer lama, dan jika sesuatu mengembalikannya ke alamat yang sama, klien tersambung kembali ke layanan yang Anda anggap sudah pensiun. Beri label pada set cadangan sebagai milik layanan yang dinonaktifkan dan jauhkan dari jalur pemulihan otomatis.

Kejar apa yang masih menunjuk ke endpoint lama

Profil yang di-cache hidup lebih lama dari DNS. Konfigurasi tersimpan dengan alamat numerik terus menelepon setelah catatannya hilang, dan klien yang selalu aktif mencoba ulang pada setiap perubahan jaringan. Itu kebisingan, bukan akses, karena listener sudah ditutup, tetapi mengetahui mana yang Anda lihat menentukan bagaimana Anda menjawab tiket.

Lalu sapi dependensi yang tidak pernah diarsipkan orang di bawah VPN: pemeriksaan uptime yang meraba port, tugas cadangan yang menarik konfigurasi dari host, kredensial otomasi yang dipakai mendorong entri peer, akun pemulihan yang dibuat khusus untuk endpoint ini. Masing-masing adalah jalur akses dengan masa hidup dan pemiliknya sendiri, jadi masing-masing mendapat keputusan alih-alih penghapusan diam-diam.

Verifikasi, lalu catat

Pensiun selesai ketika uji dari luar gagal seperti yang Anda harapkan. Dari jaringan yang tidak Anda kendalikan, sambungkan ke alamat dan port lama. Hasil tersaring atau ditolak adalah kasus sukses. Di aplikasi klien, pastikan profilnya dihapus, bukan sekadar dimatikan, dan tidak ada profil manajemen yang diam-diam menambahkannya lagi.

Lalu catat apa yang Anda lakukan: endpoint, tanggal, kunci dan sertifikat yang dicabut, akun yang dinonaktifkan, di mana cadangannya berada. Siapa pun yang menemukan konfigurasi lama berikutnya harus menjawab apakah itu dicabut atau hanya dihapus, tanpa menebak, dan tabel singkat di tiket melakukan itu.

Sebelum menutup tiket:

• profil klien dihapus atau diganti, perangkat tak dikenal diselesaikan
• peer dihapus dan konfigurasi diterapkan ulang, atau sertifikat dicabut dan CRL diterbitkan
• akun direktori dinonaktifkan, bukan hanya berkas lokal dihapus
• layanan dinonaktifkan, tidak ada listener tersisa di port lama
• firewall, penerusan port, grup keamanan, dan entri DNS dihapus
• cadangan diberi label, snapshot dikecualikan dari jalur pemulihan
• kredensial pemantauan dan otomasi dipensiunkan

Verifikasi penggantinya secara terpisah, dari klien yang tidak pernah memegang profil lama. Satu uji itu memberi tahu apakah Anda memensiunkan layanan atau hanya mengganti nama masalahnya.