როგორ გავაუქმოთ VPN სერვერი წვდომის დატოვების გარეშე

თქვენი კლიენტი ჯერ კიდევ უკავშირდება იმ დღეს, როცა გაუქმების ბილეთი იხსნება. აპში პროფილი ზის, ის მოლაპარაკებას აწარმოებს და გვირაბი ისე ადის, თითქოს არაფერი შეცვლილა. ეს არის მომენტი, იმუშაოთ იმ მიმართულების საწინააღმდეგოდ, რომლითაც სერვისი ააშენეთ: დაიწყეთ კლიენტების სიიდან, გადადით გარეთ მსმენელამდე, შემდეგ ფაირვოლამდე და დაასრულეთ იმ სერთიფიკატებით, რომლებიც ყველა მათგანს უფრო დიდხანს ცოცხლობს. VM-ის გამორთვა ბოლო ნაბიჯია და არა პირველი. ეს სახელმძღვანელო ვარაუდობს, რომ გაქვთ კონსოლის წვდომა ჰოსტზე და კლიენტის ჩანაწერებისა და DNS-ის რედაქტირების უფლება.

ჯერ კლიენტების სია გაიარეთ

გახსენით ყველაფერი, რაც თქვენს პროფილებს ავრცელებს და წაიკითხეთ სია, სანამ სერვერს შეეხებით. თითოეული ჩანაწერი მოწყობილობაა, რომელსაც სჯერა, რომ წვდომა აქვს: ტელეფონები, ლეპტოპები, ფილიალის როუტერი, კონტეინერი, რომელიც ყოველ ღამე სინქრონდება. ექსპორტი გაუკეთეთ ამ სიას ბილეთში, რადგან ჰოსტის გაქრობის შემდეგ აღარ იქნება wg show, რომელიც გეტყვით, ვინ იყო დაკავშირებული.

დაახარისხეთ თითოეული მოწყობილობა შემცვლელ საბოლოო წერტილად, აღარ არის საჭირო, ან უცნობად. სწორედ უცნობთა კალათაა მთავარი, რადგან ეს ის პროფილებია, რომლებსაც ვიღაც თვეების შემდეგ უჯრაში იპოვის და გამოსცდის. შეტყობინება გაგზავნეთ იმავე არხზე, რომელსაც წვდომის მოთხოვნებისთვის იყენებთ, და ჩაწერეთ თარიღი, როდის შეწყვეტს ძველი საბოლოო წერტილი პასუხს.

გააუქმეთ იდენტობა და არა მხოლოდ ფაილი

ორ სხვადასხვა მოქმედებას ორივეს გაუქმება ჰქვია. WireGuard-ზე peer ავტორიზებულია მხოლოდ თავისი საჯარო გასაღებით, რომელიც ჩნდება peer-ის სექციაში AllowedIPs ჩანაწერით, ამიტომ ლეპტოპიდან კონფიგურაციის ფაილის წაშლა სერვერზე არაფერს ცვლის. ამოიღეთ peer-ის ბლოკი და ხელახლა გამოიყენეთ ფაილი იმ peer-ების დაგდების გარეშე, რომლებსაც ინახავთ, როგორც აღწერს wg(8) სახელმძღვანელო:

wg show
wg set wg0 peer <CLIENT_PUBLIC_KEY> remove
wg syncconf wg0 <(wg-quick strip wg0)

wg syncconf არის ის ნაწილი, რომელიც ტექნიკური მომსახურების ფანჯარას გიზოგავთ. ის ინტერფეისს ფაილიდან ადგილზე თავიდან აშენებს, ამიტომ ერთი peer-ის მოცილება არ ანგრევს გვირაბს, რომელსაც ყველა დანარჩენი იყენებს. თუ მთელ ჰოსტს ხურავთ და არა ერთ peer-ს, რიგს მაინც აქვს მნიშვნელობა, რადგან ამ გასაღებებს შეიძლება სხვაგან ენდობოდნენ.

X.509 კონფიგურაციისას გაუქმების ნაბიჯი სერთიფიკატია და არა ფაილი: openssl ca -revoke client.crt და შემდეგ openssl ca -gencrl -out crl.pem. ეს მოქმედებს მხოლოდ იქ, სადაც შემმოწმებელი მას კითხულობს, რაც ნიშნავს, რომ OpenVPN სერვერი crl-verify-ით კონფიგურირებული და შემდეგ ხელახლა ჩატვირთული. თუ ეს კარიბჭე იმ CA-ის ერთადერთი მომხმარებელია, CRL მნიშვნელობას კარგავს იმ დღეს, როცა ის მოკვდება; თუ იგივე CA მეორე კარიბჭეს აწერს ხელს, სერთიფიკატი, რომელიც არასდროს გაგიუქმებიათ, იქ მუშაობას განაგრძობს.

ანგარიშები მესამე შემთხვევაა და ყველაზე ხშირად გამოტოვებული. როცა კარიბჭე ავთენტიფიცირდებოდა RADIUS-ის, LDAP-ის ან ჰოსტირებული იდენტობის პროვაიდერის წინააღმდეგ, ანგარიში VPN-ის გარეთ ცხოვრობს. გამორთეთ ის დირექტორიაში. სერვერზე მომხმარებლის სტანზას წაშლა ტოვებს ნამდვილ სერთიფიკატს, რომელსაც შემცვლელი საბოლოო წერტილი მიიღებს იმ მომენტში, როცა იგივე დირექტორიაზე მიუთითებს.

დახურეთ მსმენელები და მათამდე მიმავალი გზები

შეაჩერეთ სერვისი ისე, რომ გადატვირთვას გადაურჩეს, შემდეგ დაადასტურეთ სოკეტების სიით და არა ერთეულის მდგომარეობით. systemctl disable --now wg-quick@wg0 აჩერებს ინტერფეისს და შლის მარშრუტებსა და წესებს, რომლებიც wg-quick-მა დაამატა; systemctl disable --now openvpn-server@server იგივეს აკეთებს შაბლონური OpenVPN ინსტანციისთვის. ორივეს შემდეგ გაუშვით ss -lunp და ss -ltnp. ძველი პორტისთვის ცარიელი შედეგი ერთადერთი მტკიცებულებაა, რომელიც ითვლება.

რაც wg-quick-მა დაამატა, wg-quick შლის. რაც ხელით დაამატეთ, რჩება: მუდმივი NAT წესი, ფაირვოლის ნებართვა, როუტერის პორტის გადამისამართება, ღრუბლოვანი უსაფრთხოების ჯგუფის შემავალი წესი, დატვირთვის ბალანსერის მსმენელი. ესენი ცალსახად უნდა მოიხსნას, ისევე როგორც DNS ჩანაწერი, ანუ A, AAAA და ნებისმიერი CNAME, რომელიც სახელზე მიუთითებს. სახელი, რომელიც მკვდარ ჰოსტზე იხსნება, სხვაგვარად ფარდება, ვიდრე სახელი, რომელიც არ იხსნება, და ეს განსხვავება ვინმეს შუადღეს დაუჯდება.

ასლი, რომელსაც ივიწყებთ, კლონია. სარეზერვო ასლიდან აღდგენილი სნეპშოტი ან VM ჯერ კიდევ ინახავს ჰოსტის გასაღებებს და ძველ peer-თა სიას, და თუ რამე მას იმავე მისამართზე დააბრუნებს, კლიენტები ხელახლა უკავშირდებიან სერვისს, რომელსაც გაუქმებულად თვლით. მონიშნეთ სარეზერვო ნაკრები, როგორც გაუქმებულ სერვისს კუთვნილი, და შეინახეთ ის ავტომატური აღდგენის გზების გარეთ.

დაედევნეთ იმას, რაც ჯერ კიდევ ძველ საბოლოო წერტილზე მიუთითებს

ქეშირებული პროფილები DNS-ზე დიდხანს ცოცხლობს. რიცხვითი მისამართის მქონე შენახული კონფიგურაცია აგრძელებს აკრეფას მას შემდეგ, რაც ჩანაწერი გაქრა, და ყოველთვის ჩართული კლიენტი ყოველ ქსელურ ცვლილებაზე ხელახლა ცდილობს. ეს ხმაურია და არა წვდომა, რადგან მსმენელი დახურულია, მაგრამ იმის ცოდნა, რომელს უყურებთ, განსაზღვრავს, როგორ უპასუხებთ ბილეთს.

შემდეგ გადაწურეთ დამოკიდებულებები, რომლებსაც არავინ VPN-ის ქვეშ არქივებს: მუშაობის დროის შემოწმებები, რომლებიც პორტს ეხება, სარეზერვო სამუშაოები, რომლებიც ჰოსტიდან კონფიგურაციებს იღებდნენ, ავტომატიზაციის სერთიფიკატები, რომლებიც peer-ის ჩანაწერების გასაგზავნად გამოიყენებოდა, აღდგენის ანგარიშები, რომლებიც მხოლოდ ამ საბოლოო წერტილისთვის შეიქმნა. თითოეული წვდომის გზაა საკუთარი სიცოცხლითა და საკუთარი მფლობელით, ამიტომ თითოეული გადაწყვეტილებას იღებს და არა ჩუმ წაშლას.

გადაამოწმეთ და შემდეგ ჩაწერეთ

გაუქმება მთავრდება მაშინ, როცა გარედან ჩატარებული ტესტი ისე ფარდება, როგორც ელოდებით. იმ ქსელიდან, რომელსაც არ აკონტროლებთ, დაუკავშირდით ძველ მისამართსა და პორტს. გაფილტრული ან უარყოფილი შედეგი წარმატების შემთხვევაა. კლიენტის აპში დაადასტურეთ, რომ პროფილი წაიშალა და არა უბრალოდ გამოირთო, და რომ არც ერთი მართვის პროფილი ჩუმად ხელახლა არ ამატებს მას.

შემდეგ ჩაწერეთ, რაც გააკეთეთ: საბოლოო წერტილი, თარიღი, გაუქმებული გასაღებები და სერთიფიკატები, გამორთული ანგარიშები, სად არის სარეზერვო ასლები. ვინც შემდეგ ძველ კონფიგურაციას იპოვის, გამოცნობის გარეშე უნდა უპასუხოს, გაუქმდა თუ უბრალოდ წაიშალა, და ბილეთში მოკლე ცხრილი ამას აკეთებს.

ბილეთის დახურვამდე:

• კლიენტის პროფილები მოცილებული ან შეცვლილია, უცნობი მოწყობილობები გარკვეულია
• peer-ები მოცილებულია და კონფიგურაცია ხელახლა გამოყენებული, ან სერთიფიკატები გაუქმებულია და CRL გამოქვეყნებული
• დირექტორიის ანგარიშები გამორთულია და არა მხოლოდ ლოკალური ფაილები წაშლილი
• სერვისი გამორთულია, ძველ პორტზე მსმენელი არ დარჩენილა
• ფაირვოლი, პორტის გადამისამართება, უსაფრთხოების ჯგუფი და DNS ჩანაწერები მოცილებულია
• სარეზერვო ასლები მონიშნულია, სნეპშოტი აღდგენის გზებიდან გამორიცხული
• მონიტორინგისა და ავტომატიზაციის სერთიფიკატები გაუქმებულია

შემცვლელი ცალკე გადაამოწმეთ, იმ კლიენტიდან, რომელსაც არასდროს ჰქონია ძველი პროფილი. ეს ერთი ტესტი გეტყვით, გააუქმეთ სერვისი თუ მხოლოდ პრობლემას გადაარქვით სახელი.