VPN серверін қатынасты қалдырмай есептен шығару жолы

Клиентіңіз есептен шығару билеті ашылған күні де әлі қосылады. Қолданбада профиль отырады, ол келіссөз жүргізеді, және туннель ештеңе өзгермегендей көтеріледі. Бұл — қызметті қалай құрғаныңызға қарама-қарсы бағытта жұмыс істейтін сәт: клиенттер тізімінен бастаңыз, сыртқа тыңдаушыға қарай жүріңіз, содан кейін брандмауэрге, және олардың барлығынан ұзақ өмір сүретін тіркелгі деректерімен аяқтаңыз. VM-ді өшіру — бірінші емес, соңғы қадам. Бұл нұсқаулық сізде хостқа консоль қатынасы және клиент жазбалары мен DNS-ті өңдеу өкілеттігі бар деп есептейді.

Алдымен клиенттер тізімінен өтіңіз

Профильдеріңізді тарататынның бәрін ашып, серверге тиіспес бұрын тізімді оқыңыз. Әр жазба — қатынасы бар деп сенетін құрылғы: телефондар, ноутбуктер, филиал маршрутизаторы, түнде синхрондалатын контейнер. Сол тізімді билетке экспорттаңыз, өйткені хост кеткеннен кейін кім қосылғанын айтатын wg show болмайды.

Әр құрылғыны ауыстырушы соңғы нүкте, енді қажет емес немесе белгісіз деп жіктеңіз. Маңыздысы — белгісіздер себеті, өйткені айлар өткен соң біреу жәшіктен тауып, сынап көретін профильдер солар. Хабарламаны қатынас сұраныстары үшін қолданатын арнада жіберіңіз және ескі соңғы нүкте жауап беруді қашан тоқтататынын күнмен жазыңыз.

Тек файлды емес, жеке басын кері қайтарыңыз

Екі түрлі әрекеттің екеуі де кері қайтару деп аталады. WireGuard-та peer тек өзінің жалпы кілтімен рұқсат етіледі, ол AllowedIPs жазбасы бар peer бөлімінде көрінеді, сондықтан ноутбуктен конфигурация файлын жою серверде ештеңені өзгертпейді. Өзіңіз сақтайтын peer-лерді түсірмей, peer блогын алып тастап, файлды қайта қолданыңыз, wg(8) нұсқаулығы сипаттағандай:

wg show
wg set wg0 peer <CLIENT_PUBLIC_KEY> remove
wg syncconf wg0 <(wg-quick strip wg0)

wg syncconf — техникалық қызмет терезесін үнемдейтін бөлік. Ол интерфейсті файлдан сол жерде қайта құрады, сондықтан бір peer-ді алып тастау қалғандардың бәрі пайдаланатын туннельді бұзбайды. Егер бір peer орнына бүкіл хостты есептен шығарсаңыз, тәртіп әлі де маңызды, өйткені бұл кілттерге басқа жерде сенуі мүмкін.

X.509 конфигурациясында кері қайтару қадамы — файл емес, сертификат: openssl ca -revoke client.crt, содан кейін openssl ca -gencrl -out crl.pem. Бұл тек тексеруші оны оқитын жерде әсер етеді, яғни OpenVPN сервері crl-verify конфигурацияланып, кейін қайта жүктелгенде. Егер бұл шлюз сол CA-ның жалғыз тұтынушысы болса, CRL ол өлген күні маңызын жояды; егер сол CA екінші шлюзге қол қойса, сіз ешқашан кері қайтармаған сертификат сонда жұмысын жалғастырады.

Тіркелгілер — үшінші жағдай және ең жиі өткізіп жіберілетін жағдай. Шлюз RADIUS, LDAP немесе хостингтік сәйкестендіру провайдеріне қарсы аутентификацияланғанда, тіркелгі VPN-нан тыс өмір сүреді. Оны каталогта өшіріңіз. Сервердегі пайдаланушы станзасын жою жарамды тіркелгі деректерін қалдырады, оны ауыстырушы соңғы нүкте сол каталогқа көрсеткен сәтте қабылдайды.

Тыңдаушыларды және оларға апарар жолдарды жабыңыз

Қызметті қайта жүктеуге шыдайтын түрде тоқтатып, содан кейін бірлік күйімен емес, сокет тізімімен растаңыз. systemctl disable --now wg-quick@wg0 интерфейсті тоқтатып, wg-quick қосқан маршруттар мен ережелерді жояды; systemctl disable --now openvpn-server@server үлгілік OpenVPN данасы үшін дәл солай істейді. Екеуінен кейін ss -lunp және ss -ltnp орындаңыз. Ескі порт үшін бос нәтиже — есепке алынатын жалғыз дәлел.

wg-quick қосқанын wg-quick жояды. Қолмен қосқаныңыз қалады: тұрақты NAT ережесі, брандмауэр рұқсаты, маршрутизатордың порт бағыттауы, бұлттық қауіпсіздік тобының кіру ережесі, жүктеме теңгерушісінің тыңдаушысы. Бұларды анық жою керек, DNS жазбасын да, яғни A, AAAA және атауға сілтейтін кез келген CNAME. Өлі хостқа шешілетін атау шешілмейтін атаудан басқаша сәтсіздікке ұшырайды, және бұл айырмашылық біреуге бір түстен кейінгі уақытты тұрады.

Ұмытып кететін көшірме — клон. Резервтік көшірмеден қалпына келтірілген сурет немесе VM әлі де хост кілттері мен ескі peer тізімін ұстайды, және бірдеңе оны сол мекенжайға қайтарса, клиенттер есептен шығарылды деп ойлаған қызметке қайта қосылады. Резервтік жиынды жойылған қызметке тиесілі деп белгілеп, оны автоматты қалпына келтіру жолдарынан тыс ұстаңыз.

Ескі соңғы нүктеге әлі сілтеп тұрғанның соңына түсіңіз

Кэштелген профильдер DNS-тен ұзақ өмір сүреді. Сандық мекенжайы бар сақталған конфигурация жазба кеткеннен кейін де қоңырау шала береді, ал үнемі қосулы клиент әр желі өзгерісінде қайта тырысады. Бұл — қатынас емес, шу, өйткені тыңдаушы жабық, бірақ екеуінің қайсысына қарап отырғаныңызды білу билетке қалай жауап беретініңізді анықтайды.

Содан кейін ешкім VPN астына мұрағаттамайтын тәуелділіктерді сыпырыңыз: портты сипап тексеретін жұмыс уақыты тексерулері, хосттан конфигурация тартқан резервтік жұмыстар, peer жазбаларын итеру үшін қолданылған автоматтандыру тіркелгі деректері, тек осы соңғы нүкте үшін жасалған қалпына келтіру тіркелгілері. Әрқайсысы өз өмірі мен өз иесі бар қатынас жолы, сондықтан әрқайсысы үнсіз жоюдың орнына шешім алады.

Тексеріңіз, содан кейін жазып қойыңыз

Есептен шығару сырттан жасалған тест күткендей сәтсіздікке ұшырағанда аяқталады. Өзіңіз бақыламайтын желіден ескі мекенжай мен портқа қосылыңыз. Сүзілген немесе қабылданбаған нәтиже — сәттілік жағдайы. Клиент қолданбасында профильдің өшірілмей, жойылғанын және ешбір басқару профилі оны үнсіз қайта қоспайтынын растаңыз.

Содан кейін не істегеніңізді жазыңыз: соңғы нүкте, күн, кері қайтарылған кілттер мен сертификаттар, өшірілген тіркелгілер, резервтік көшірмелердің қайда екені. Келесіде ескі конфигурацияны тапқан адам болжамсыз жауап беруі керек: ол кері қайтарылды ма әлде жай жойылды ма, ал билеттегі қысқа кесте мұны істейді.

Билетті жаппас бұрын:

• клиент профильдері жойылды немесе ауыстырылды, белгісіз құрылғылар шешілді
• peer-лер жойылып, конфигурация қайта қолданылды, немесе сертификаттар кері қайтарылып, CRL жарияланды
• каталог тіркелгілері өшірілді, тек жергілікті файлдар жойылған жоқ
• қызмет өшірілді, ескі портта тыңдаушы қалмады
• брандмауэр, порт бағыттауы, қауіпсіздік тобы және DNS жазбалары жойылды
• резервтік көшірмелер белгіленді, сурет қалпына келтіру жолдарынан шығарылды
• мониторинг және автоматтандыру тіркелгі деректері есептен шығарылды

Ауыстырғышты бөлек тексеріңіз, ешқашан ескі профиль ұстамаған клиенттен. Сол бір тест қызметті есептен шығарғаныңызды немесе мәселенің атын өзгерткеніңізді айтады.