Hvernig á að endurheimta VPN-þjón utan að afrita auðkenni

Þú endurheimtir öryggisafritið, þjónustan ræstist og biðlari tengdist í fyrstu tilraun. Sú velgengni er gildran. Endurheimt skilar skránum sem þjónninn hafði á augnabliki skynditaksins, ekki aðgangsstöðunni sem hefur breyst síðan, og ef gamli endapunkturinn er enn aðgengilegur hefur þú nú tvær vélar sem svara einu auðkenni. Lausnin er ekki betra öryggisafrit; hún er að ákveða hvað endurheimti hýsillinn má vera áður en hann svarar einu einasta handabandi.

Öryggisafrit skilar skrám, ekki valdi

Skynditakið geymir stillingar þjónsins, einkalyklana, vottunarstjórnina, jafningjalistann og reglur eldveggsins eins og þær voru þegar afritið rann. Það getur ekki geymt það sem breyttist síðan: tækið sem þú afturkallaðir, lykilinn sem þú gafst út aftur, jafningjann sem þú fjarlægðir þegar fartölva var seld, undirnetið sem þú fluttir. Endurheimt spólar skránum aftur að því augnabliki. Hún spólar ekki ákvarðunum sem fólk hefur tekið síðan.

Skaðinn kemur einmitt frá þessu bili. Stolin fartölva sem var afturkölluð tveimur vikum eftir afritið leggur fram vottorð sem enn staðfestist gegn eldra CRL í endurheimta trénu, og þjónninn samþykkir tæki sem þú lagðir af. WireGuard er beinskeyttara: jafningi er heimilaður með því að vera á listanum, svo jafningi sem var eytt eftir skynditakið er einfaldlega þar aftur. Enginn samþykkti þann aðgang aftur. Gamla skráin gerði það.

Auðkenni þjóns og auðkenni biðlara bregðast á mismunandi vegu

Á WireGuard er auðkenni þjónsins einkalykillinn í wg0.conf, svo að afrita þá skrá á annan aðgengilegan hýsil býr til tvo þjóna með sama auðkenni og án vitneskju um hvorn annan. Hvor heldur sínum jafningjalista. Fjarlægðu jafningja á nýja hýsilnum og sá gamli samþykkir hann enn; athugaðu wg show á öðrum og þú sérð helming sannleikans. Biðlarar skipta heldur ekki sjálfir um: snið ber eitt Endpoint, svo tæki heldur áfram að tala við það netfang sem það var stillt með, sem gæti verið hýsillinn sem þú ætlaðir að leggja af.

OpenVPN afritast á sama lagi með þjónsvottorði, einkalykli þess og kyrrstæða lyklinum tls-auth eða tls-crypt. Afritaðu alla þrjá og biðlari getur ekki greint eintökin; ef bæði eru aðgengileg getur endurtenging lent á hvorugu sem er, og hver logaskrá segir hálfa sögu. Vottunarstjórnin er dýpra eintakið. Endurheimt easy-rsa tré er önnur sannleiksheimild sem getur gefið út gilt vottorð fyrir hvaða nafn sem þú gefur því.

Biðlarar afritast líka, venjulega við flutninginn sjálfan. Að afrita snið á varatæki „bara til að prófa“ býr til annað tæki með sama lykli og sama algenga nafni. Með duplicate-cn geta báðar loturnar verið uppi samtímis, og kyrrstæð netfang úthlutun í ccd eða ifconfig-pool-persist getur rekist á upprunalega tækið. Þetta eru tvær vélar í einu auðkenni, og ekkert í stillingum þjónsins greinir þær.

Veldu eitt af þremur ástandum fyrir gamla endapunktinn

Endurheimt er aðeins örugg þegar örlög gamla endapunktsins eru ákveðin. Leggðu hann af: gamla þjónustan verður að hætta að taka við VPN-portinu áður en nýi hýsillinn ræsist, og ef þú kemst ekki að vélinni skaltu loka þeirri port við netjaðarinn fyrir öllu nema stjórnunarheimild þína. Gerðu við sama hýsil: endurnotkun auðkennisins er í lagi því ein vél heldur því, en eyðileggðu síðan diskafritið eða VM-skynditakið af gamla lyklinum svo það geti ekki komið aftur. Byggðu tvíeyki fyrir aðgengi: tveir hýslar þurfa aðskilin hýslaauðkenni auk eins sameiginlegs endapunkts, svo sem fljótandi netfang, hleðsludreifara eða DNS sem þú getur flutt. Að afrita einkalykilinn er ekki failover-hönnun; það eru tveir þjónar sem gera tilkall til eins nafns.

Staðfestu í hvaða ástandi þú ert í raun áður en þú snertir biðlara. Gamli hýsillinn sem svarar á VPN-portinu er sá sem samþykkir afturkallaða tækið, jafnvel þótt DNS hafi flust. Athugaðu hlustendur og opinbera lykilinn:

ss -lunp | grep -E ':51820|:1194'
wg show wg0
wg pubkey < /etc/wireguard/server.key

Samræmdu fyrst jafningja, afturkallanir og netföng

Listaðu það sem endurheimtin heldur fram gegn því sem er heimilað núna. Á WireGuard gefur wg show wg0 lykil, endapunkt, síðasta handaband og flutningsteljara hvers jafningja, nóg til að koma auga á tæki sem þú átt ekki lengur. Fjarlægðu það í beinni með wg set wg0 peer <key> remove, breyttu síðan líka stillingunum, annars kemur jafninginn aftur við næstu ræsingu. wg show wg0 allowed-ips flettir upp öðru vandamálinu: tveir jafningar á einu netfangi, eða netfang sem þú hefur þegar úthlutað aftur.

Á OpenVPN er afturkallalistinn skrá með dagsetningu, og endurheimt getur komið með gamlan. Athugaðu hann áður en biðlarar tengjast:

openssl crl -in /etc/openvpn/crl.pem -noout -lastupdate -nextupdate
grep -E 'crl-verify|reneg-sec' /etc/openvpn/server.conf

Ef síðasta uppfærslan er fyrir afturköllunina er þjónninn enn að virða vottorð sem þú afturkallaðir. OpenVPN 2.4 og nýrri lesa CRL-skrána aftur fyrir hverja nýja tengingu, svo að skipta um skrána stöðvar nýjar lotur, en uppsett göng vara þangað til samningaviðræður hefjast að nýju; sjálfgefið gildi reneg-sec er 3600 sekúndur, og að lækka það eða endurræsa þjónustuna er það sem gefur þér breytinguna núna. Eldri byggingar nema skrána ef til vill ekki eins áreiðanlega, svo endurræstu þegar þú getur ekki staðfest hegðun útgáfunnar. wg(8)-handbókin nær yfir fjarlægingu jafningja og allowed-ips setningafræðina sem notuð er hér að ofan.

Hreinsaðu líka kyrrstæðar úthlutanir fyrir tæki sem ekki eru lengur til. Að endurnota netfang af lögðu tæki fyrir nýtt á meðan gamla sniðið er enn uppsett býr til nákvæmlega það afrit sem þú ert að reyna að forðast.

Staðfestu með biðlara sem þú afturkallaðir

Keyrðu athuganirnar í röð, úr neti utan gönganna. Fyrst tengist heimilað tæki, leysir DNS í gegnum ýtta leysinn og nær einkatilfangi. Síðan verður afturkallaða tækið að mistakast, með núverandi sniði sínu frekar en nýju. Síðan prófaðu gamla endapunktinn utan frá: ef VPN-portið klárar enn handaband er gamli hýsillinn lifandi og afritunin raunveruleg, ekki fræðileg.

Endurræstu endurheimta hýsilinn og endurtaktu athuganir heimilaðs og afturkallaðs, því þá vinnur stillingaskráin gegn því sem þú breyttir á keyrslutíma. Berðu saman opinberan lykil eða fingrafar vottorðs hýsilsins við það sem lagða vélin notaði. Samhljóða fingraför á tveimur lifandi vélum þýða að endurheimtin klónaði auðkennið; samhljóða fingraför á einni vél eru í lagi. Skráðu endurheimtar útgáfur, fingraför lykla og afturkallaða raðnúmerið eða jafningjalykilinn, taktu síðan næsta öryggisafrit eftir þessa samræmingu, svo það sýni þjónustuna eins og hún er núna. Virka prófið er ekki að biðlari tengist. Það er að biðlarinn sem þú fjarlægðir verði úti á meðan gamli endapunkturinn verður lokaður.