Hvernig á að taka VPN-netþjón úr notkun án þess að skilja aðgang eftir

Biðlarinn þinn tengist enn á þeim degi sem úreldingarmiðinn opnast. Snið situr í forritinu, það semur, og göngin koma upp eins og ekkert hafi breyst. Þetta er augnablikið til að vinna í gagnstæða átt við það hvernig þú byggðir þjónustuna: byrjaðu á biðlaralistanum, gakktu út að hlustaranum, svo að eldveggnum, og endaðu á skilríkjunum sem lifa öllu þessu lengur. Að slökkva á VM er síðasta skrefið, ekki það fyrsta. Þessi leiðarvísir gerir ráð fyrir að þú hafir stjórnborðsaðgang að hýsilnum og heimild til að breyta biðlarafærslum og DNS.

Farðu fyrst í gegnum biðlaralistann

Opnaðu hvað sem dreifir sniðunum þínum og lestu listann áður en þú snertir netþjóninn. Hver færsla er tæki sem trúir því að það hafi aðgang: símar, fartölvur, útibúsrouter, gámur sem samstillist á hverri nóttu. Flyttu þann lista út í miðann, því þegar hýsillinn er farinn er enginn wg show til að segja þér hver var tengdur.

Flokkaðu hvert tæki sem staðgengilsendapunkt, ekki lengur þörf eða óþekkt. Óþekktu karfið er það sem skiptir máli, því það eru sniðin sem einhver finnur í skúffu eftir mánuði og prófar. Sendu tilkynninguna á sama rás og þú notar fyrir aðgangsbeiðnir og settu dagsetningu í hana fyrir hvenær gamli endapunkturinn hættir að svara.

Afturkallaðu auðkennið, ekki bara skrána

Tvær mismunandi aðgerðir heita báðar afturköllun. Á WireGuard er jafningi aðeins heimilaður með almennum lykli sínum sem birtist í jafningjahluta með AllowedIPs-færslu, svo að eyða stillingarskránni af fartölvunni breytir engu á netþjóninum. Fjarlægðu jafningjablokkina og notaðu skrána aftur án þess að sleppa jafningjunum sem þú heldur, eins og wg(8) handbókin lýsir:

wg show
wg set wg0 peer <CLIENT_PUBLIC_KEY> remove
wg syncconf wg0 <(wg-quick strip wg0)

wg syncconf er sá hluti sem sparar þér viðhaldsglugga. Hann byggir viðmótið upp aftur úr skránni á staðnum, svo að fjarlæging eins jafningja rífur ekki niður göngin sem allir hinir nota. Ef þú tekur allan hýsilinn úr notkun í stað eins jafningja skiptir röðin samt máli, því treyst gæti verið fyrir þessum lyklum annars staðar.

Með X.509 uppsetningu er afturköllunarskrefið skírteinið, ekki skráin: openssl ca -revoke client.crt og svo openssl ca -gencrl -out crl.pem. Það hefur aðeins áhrif þar sem sannprófandinn les það, sem þýðir að OpenVPN netþjónn með crl-verify stilltan og endurhlaðinn í kjölfarið. Ef þessi gátt er eini notandinn á því CA hættir CRL að skipta máli á þeim degi sem það deyr; ef sama CA undirritar fyrir aðra gátt heldur skírteini sem þú afturkallaðir aldrei áfram að virka þar.

Reikningar eru þriðja tilfellið og það sem oftast er sleppt. Þegar gáttin sannvottaði gegn RADIUS, LDAP eða hýstum auðkennisveitanda býr reikningurinn utan VPN. Gerðu hann óvirkan í skránni. Að eyða notendastönz á netþjóninum skilur eftir gilt skilríki sem staðgengilsendapunkturinn tekur við á því augnabliki sem hann bendir á sömu skrá.

Lokaðu hlusturunum og leiðunum að þeim

Stöðvaðu þjónustuna á þann hátt að hún lifi endurræsingu af, staðfestu svo með socket-lista frekar en stöðu einingarinnar. systemctl disable --now wg-quick@wg0 stöðvar viðmótið og fjarlægir leiðirnar og reglurnar sem wg-quick bætti við; systemctl disable --now openvpn-server@server gerir slíkt hið sama fyrir sniðmátstilvik OpenVPN. Fylgdu hvoru tveggja eftir með ss -lunp og ss -ltnp. Tómt niðurstaða fyrir gamla portið er eina sönnunin sem gildir.

Það sem wg-quick bætti við fjarlægir wg-quick. Það sem þú bættir við handvirkt verður eftir: varanleg NAT-regla, eldveggsheimild, portframlenging á router, inngangsregla skýjaöryggishóps, hleðslujafnarahlustari. Þetta þarf að fjarlægja sérstaklega, og svo DNS-færsluna, það er A, AAAA og hvaða CNAME sem bendir á nafnið. Nafn sem leysist í dauðan hýsil mistekst öðruvísi en nafn sem leysist ekki, og sá munur kostar einhvern síðdegi.

Afritið sem þú gleymir er klónninn. Skyndimynd eða VM sem endurheimt er úr afriti heldur enn hýsillyklunum og gamla jafningjalistanum, og ef eitthvað færir það aftur á sama vistfangið tengjast biðlarar aftur þjónustu sem þú telur úrelda. Merktu afritasettið sem tilheyrandi niðurlagðri þjónustu og haltu því utan sjálfvirkra endurheimtarleiða.

Eltaðu það sem bendir enn á gamla endapunktinn

Skyndiminni snið lifa lengur en DNS. Vistuð stilling með tölulegu vistfangi hringir áfram eftir að færslan er farin, og biðlari sem er alltaf á reynir aftur við hverja netbreytingu. Það er hávaði en ekki aðgangur, því hlustarinn er lokaður, en að vita hvora tveggja þú ert að horfa á ræður því hvernig þú svarar miðanum.

Sópaðu svo eftir háðunum sem enginn skrásetur undir VPN: uppitímaskoðanir sem þreifa á portinu, afritaverk sem drógu stillingar af hýsilnum, sjálfvirkniskilríki sem notuð voru til að ýta jafningjafærslum, endurheimtareikningar búnir til fyrir þennan endapunkt einan. Hver er aðgangsleið með eigin líftíma og eigin eiganda, svo hver fær ákvörðun í stað hljóðs eyðingar.

Sannprófaðu og skrifaðu svo niður

Úreldingunni er lokið þegar próf að utan mistekst á þann hátt sem þú býst við. Frá neti sem þú stjórnar ekki skaltu tengjast gamla vistfanginu og portinu. Síuð eða hafnað niðurstaða er árangurstilfellið. Í biðlaraforritinu skaltu staðfesta að sniðinu hafi verið eytt en því ekki bara slökkt, og að ekkert stjórnsnið bæti því hljóðlega við aftur.

Skráðu svo það sem þú gerðir: endapunktur, dagsetning, afturkallaðir lyklar og skírteini, óvirkjaðir reikningar, hvar afritin eru. Sá sem finnur gamla stillingu næst þarf að svara hvort henni hafi verið afturkallað eða bara eytt, án þess að giska, og stutt tafla í miðanum gerir það.

Áður en þú lokar miðanum:

• biðlarasnið fjarlægð eða skipt út, óþekkt tæki upplýst
• jafningjar fjarlægðir og stillingin notuð aftur, eða skírteini afturkölluð og CRL birt
• reikningar í skránni óvirkjaðir, ekki bara staðbundnum skrám eytt
• þjónusta óvirkjuð, enginn hlustari eftir á gamla portinu
• eldveggur, portframlenging, öryggishópur og DNS-færslur fjarlægð
• afrit merkt, skyndimynd undanskilin endurheimtarleiðum
• vöktunar- og sjálfvirknisskilríki tekin úr notkun

Sannprófaðu staðgengilinn sérstaklega, frá biðlara sem hafði aldrei gamla sniðið. Það eina próf segir þér hvort þú tókst þjónustu úr notkun eða breyttir bara nafni vandans.