VPN серверин кирүү мүмкүнчүлүгүн калтырбай эсептен чыгаруу

Кардарыңыз эсептен чыгаруу билети ачылган күнү дагы эле туташат. Колдонмодо профиль олтурат, ал сүйлөшүү жүргүзөт, жана туннель эч нерсе өзгөрбөгөндөй көтөрүлөт. Бул — кызматты кандай курууңузга карама-каршы багытта иштөө учуру: кардарлардын тизмесинен баштаңыз, сыртка угуучуга чейин жүрүңүз, анан брандмауэрге, жана алардын баарынан узак жашаган эсептик маалыматтар менен аяктаңыз. VMди өчүрүү — биринчи эмес, акыркы кадам. Бул нускама сизде хостко консолдук кирүү жана кардар жазуулары менен DNSди түзөтүү укугу бар деп эсептейт.

Алгач кардарлардын тизмесин карап чыгыңыз

Профилдериңизди таратуучу нерсенин баарын ачып, серверге тийүүдөн мурун тизмени окуңуз. Ар бир жазуу — кирүү мүмкүнчүлүгү бар деп ишенген түзмөк: телефондор, ноутбуктар, филиалдык маршрутизатор, түндө синхрондолуучу контейнер. Ошол тизмени билетке экспорттоңуз, анткени хост кеткенден кийин ким туташканды айта турган wg show болбойт.

Ар бир түзмөктү алмаштыруучу акыркы чекит, мындан ары керек эмес же белгисиз деп классификациялаңыз. Маанилүүсү — белгисиздер себети, анткени айлар өткөндөн кийин бирөө кутучадан таап, сынап көрө турган профилдер ошолор. Билдирүүнү кирүү суроолору үчүн колдонгон каналда жөнөтүңүз жана эски акыркы чекит качан жооп берүүнү токтоторун күн менен жазыңыз.

Файлды гана эмес, инсанды жокко чыгарыңыз

Эки түрдүү аракеттин экөө тең жокко чыгаруу деп аталат. WireGuardта peer өзүнүн ачык ачкычы менен гана уруксат алат, ал AllowedIPs жазуусу бар peer бөлүмүндө көрүнөт, ошондуктан ноутбуктан конфигурация файлын жок кылуу серверде эч нерсени өзгөртпөйт. Өзүңүз сактаган peerлерди түшүрбөстөн peer блокун алып салып, файлды кайра колдонуңуз, wg(8) нускамасында айтылгандай:

wg show
wg set wg0 peer <CLIENT_PUBLIC_KEY> remove
wg syncconf wg0 <(wg-quick strip wg0)

wg syncconf — тейлөө терезесин үнөмдөгөн бөлүк. Ал интерфейсти файлдан ошол жерде кайра курат, ошондуктан бир peerdi алып салуу калгандардын баары колдонгон туннелди бузбайт. Бир peerдин ордуна бүт хостту эсептен чыгарсаңыз, тартип дагы эле маанилүү, анткени бул ачкычтарга башка жерде ишениши мүмкүн.

X.509 конфигурациясында жокко чыгаруу кадамы — файл эмес, сертификат: openssl ca -revoke client.crt, анан openssl ca -gencrl -out crl.pem. Бул текшерүүчү аны окуган жерде гана таасир этет, башкача айтканда OpenVPN сервери crl-verify конфигурацияланып, кийин кайра жүктөлгөндө. Эгер бул шлюз ошол CAнын жалгыз керектөөчүсү болсо, CRL ал өлгөн күнү маанисин жоготот; эгер ошол эле CA экинчи шлюзга кол койсо, сиз эч качан жокко чыгарбаган сертификат ал жерде иштей берет.

Аккаунттар — үчүнчү учур жана эң көп өткөрүп жиберилүүчү учур. Шлюз RADIUS, LDAP же хостинги бар инсандык провайдерине каршы аутентификацияланганда, аккаунт VPNдын сыртында жашайт. Аны каталогдо өчүрүңүз. Сервердеги колдонуучу станзасын жок кылуу жарактуу эсептик маалыматты калтырат, аны алмаштыруучу акыркы чекит ошол эле каталогго көрсөткөн учурда кабыл алат.

Угуучуларды жана аларга барган жолдорду жабыңыз

Кызматты кайра жүктөөгө чыдай тургандай токтотуп, анан бирдиктин абалы менен эмес, сокет тизмеси менен ырастаңыз. systemctl disable --now wg-quick@wg0 интерфейсти токтотуп, wg-quick кошкон маршруттар менен эрежелерди алып салат; systemctl disable --now openvpn-server@server үлгүлүү OpenVPN инстанциясы үчүн ушуну эле кылат. Экөөнүн артынан ss -lunp жана ss -ltnp аткарыңыз. Эски порт үчүн бош натыйжа — эсепке алынуучу жалгыз далил.

wg-quick эмнени кошсо, wg-quick ошону алып салат. Кол менен кошконуңуз калат: туруктуу NAT эрежеси, брандмауэр уруксаты, маршрутизатордун порт багыттоосу, булуттук коопсуздук тобунун кирүү эрежеси, жүктөө теңдештиргичинин угуучусу. Буларды ачык алып салуу керек, DNS жазуусун да, башкача айтканда A, AAAA жана аталышка шилтеме кылган ар кандай CNAME. Өлүк хостко чечилген ат чечилбеген аттан башкача ишке ашпайт, жана бул айырма бирөөгө бир түштөн кийинки убакытты турат.

Унутуп калган көчүрмө — клон. Камдык көчүрмөдөн калыбына келтирилген сүрөт же VM дагы эле хост ачкычтарын жана эски peer тизмесин кармап турат, жана бир нерсе аны ошол эле дарекке кайтарса, кардарлар эсептен чыгарылды деп ойлогон кызматка кайра туташат. Камдык көчүрмө топтомун жоюлган кызматка таандык деп белгилеп, аны автоматтык калыбына келтирүү жолдорунан тышкары кармаңыз.

Эски акыркы чекитке дагы эле шилтеме кылган нерсенин артынан түшүңүз

Кэштеги профилдер DNSтен узак жашайт. Сандык дареги бар сакталган конфигурация жазуу кеткенден кийин да чалууну улантат, жана дайыма күйүп турган кардар ар бир тармак өзгөрүүсүндө кайра аракет кылат. Бул — кирүү эмес, ызы-чуу, анткени угуучу жабык, бирок экөөнүн кайсынысын карап турганыңызды билүү билетке кантип жооп берериңизди аныктайт.

Анан эч ким VPNдын астына архивдебеген көз карандылыктарды шыпырыңыз: портту кармап текшерүүчү иштөө убактысынын текшерүүлөрү, хосттон конфигурация тарткан камдык көчүрмө иштери, peer жазууларын түртүү үчүн колдонулган автоматташтыруу эсептик маалыматтары, ушул акыркы чекит үчүн гана түзүлгөн калыбына келтирүү аккаунттары. Ар бири өз өмүрү жана өз ээси бар кирүү жолу, ошондуктан ар бири үнсүз жок кылуунун ордуна чечим алат.

Текшериңиз, анан жазып коюңуз

Эсептен чыгаруу сырттан жасалган тест күткөндөй ишке ашпаганда бүтөт. Өзүңүз көзөмөлдөбөгөн тармактан эски дарек менен портко туташыңыз. Чыпкаланган же четке кагылган натыйжа — ийгилик учуру. Кардар колдонмосундо профиль өчүрүлгөнүн, жөнөкөй өчүрүлбөгөнүн жана эч бир башкаруу профили аны үнсүз кайра кошпогонун ырастаңыз.

Анан эмне кылганыңызды жазыңыз: акыркы чекит, күнү, жокко чыгарылган ачкычтар менен сертификаттар, өчүрүлгөн аккаунттар, камдык көчүрмөлөр кайда экени. Кийинчерээк эски конфигурацияны тапкан адам божомолдобой эле жокко чыгарылдыбы же жөн гана жок кылындыбы деп жооп бериши керек, жана билеттеги кыска таблица муну аткарат.

Билетти жаппас мурун:

• кардар профилдери алынып салынды же алмаштырылды, белгисиз түзмөктөр чечилди
• peerлер алынып салынып, конфигурация кайра колдонулду, же сертификаттар жокко чыгарылып, CRL жарыяланды
• каталогдук аккаунттар өчүрүлдү, жергиликтүү файлдар гана жок кылынган жок
• кызмат өчүрүлдү, эски портто угуучу калбады
• брандмауэр, порт багыттоо, коопсуздук тобу жана DNS жазуулары алынып салынды
• камдык көчүрмөлөр белгиленди, сүрөт калыбына келтирүү жолдорунан чыгарылды
• мониторинг жана автоматташтыруу эсептик маалыматтары эсептен чыгарылды

Алмаштыргычты өзүнчө текшериңиз, эч качан эски профилди кармабаган кардардан. Ошол бир тест кызматты эсептен чыгарганыңызды же маселенин атын гана өзгөрткөнүңүздү айтат.