Агып кеткен VPN ачкычын алмаштыруу: сервер эмне кылышы керек

Клиент ачкычы бар ноутбук жоголду, ал эми биринчи аракет адатта жергиликтүү көчүрмөнү өчүрүү болот. Бул серверде эч нерсени өзгөртпөйт, ал дагы эле ошол ачкычты кабыл ала турган уруксатты кармап турат, бирөө аны алып салмайынча. Алмаштыруу эки операция, жана экинчиси гана эски каттоо маалыматына тиешелүү.

Жергиликтүү көчүрмө бийлик эмес

VPN каттоо маалыматы кабыл алынат, анткени сервер тараптагы конфигурация ошондой дейт. Сертификаттар үчүн бул сертификат ишенимдүү чыгаруучуга чынжырланарын жана шлюз текшере турган жокко чыгаруу тизмесинде жоктугун билдирет. WireGuard үчүн бул теңдештин ачык ачкычы интерфейс конфигурациясында көрүнөрүн билдирет. Клиенттеги файлды өчүрүү сырдын бир көчүрмөсүн алып салат жана кабыл алуу эрежесин кыймылсыз калтырат.

Ошондуктан уурдалган ачкыч ачык тазалоодон кийин да иштей берет, жана жаңы конфигурация орнотулгандан кийин да окуя чечилбегендей сезилет.

Сервердин эрежесинен баштаңыз, анан клиентке карай сыртка иштеңиз.

Сертификаттар: чечим серверде

Алмаштырууну чыгаруучунун өз процесси аркылуу чыгарыңыз, ошондо жаңы инсандык катталат, анан эскисин кол коюлган жокко чыгаруу менен кайтарып алыңыз. Шлюз ошол жокко чыгаруу булагын текшере тургандай конфигурацияланышы керек жана аны кайра жүктөшү керек, болбосо файл дискте жатат, ал эми туннель эски сериялык номурду кабыл ала берет. Активдүү сессиялар кайра сүйлөшүүгө чейин жашай алат, ошондуктан кайра туташууну пландаңыз.

Алмаштыруу максаттуу колдонмо үчүн иштээрин ырастаңыз, анан бекитилген процесс аркылуу зейнетке чыгарылган сертификат мындан ары кирүүнү негиздебей турганын ырастаңыз.

Бул эки башка сыноо жана экөө тең милдеттүү. RFC 5280 шлюз таянган сертификат жана жокко чыгаруу семантикасын аныктайт.

WireGuard: теңдештин ачкычы — инсандык

WireGuard'да сертификат катмары жок: теңдештин ачык ачкычы — инсандык, ал эми сервердин allowed-ips жазуусу — уруксат. Эски теңдешти интерфейс конфигурациясынан алып салуу — ошол жокко чыгаруу, жана ал жаңы кол алышууларга дароо колдонулат.

Бар сессиялар кийинки кол алышуу ийгиликсиз болгондо бүтөт, бул адатта дароо эмес, бир нече мүнөттүн ичинде болот.

Жаңы конфигурацияны сырсөздү ишене турган канал аркылуу таратыңыз, анткени жеке ачкыч — каттоо маалыматы. Ар бир түзмөккө бир ачкыч кармаңыз, бир жоголгон түзмөк башка бардык түзмөктү алмаштырууга мажбурлабашы үчүн.

Бул топтомдо дагы эмне бар эле

Клиент топтому көбүнчө жеке ачкычтан көбүрөөк нерсени алып жүрөт: статикалык TLS ачкычы, колдонуучунун аты жана сырсөзү, алдын ала бөлүшүлгөн сыр же берүү токени. Окуяны чындап ачылган нерсе менен чектеңиз жана ошол элементтерди да айландырыңыз. Сертификатты айландырып, жалпы статикалык ачкычты ордунда калтыруу бир эшикти жаап, экинчисин ачык калтырат.

Эгер топтом түзмөктөрдүн ортосунда жалпы болсо, аны алып жүргөн ар бир түзмөк ошол ачыктыкты мураска алат.

Эмне айландырылганын жазып коюңуз, анткени кийинки аудит сурайт.

Баш тартууну далилдеңиз, анан алмаштырууну жазыңыз

Алмаштыруу эки факт аткарылганда бүтөт: жаңы инсандык максаттуу кызмат үчүн иштейт, ал эми эскиси кабыл алынбайт. Экинчисин зейнетке чыгарылган каттоо маалыматы менен сыноо чөйрөсүнөн текшериңиз, же уюм уруксат берген көзөмөлдүү аракет менен, жана баш тартуу саясаттан келгенин, жазуу катасынан эмес экенин ырастоо үчүн шлюз журналдарын окуңуз. Анан эски идентификаторду, жаңысын жана өзгөрүү убактысын жазыңыз, анткени аудиторго аны кайра куруу үчүн ушул үч маани керек. Билеттеги башка эч нерсе бул боштукту түшүндүрбөйт.

Жеке ачкычтарды билеттерден жана чаттардан тышкары кармаңыз, жана саясатка ылайык сактоо жайынан жана камдык көчүрмөлөрдөн эскирген экспортторду алып салыңыз.

Баш тартуу сыноосу жок алмаштыруу — божомол, оңдоо эмес.