Идентификаторлорду кайталабастан VPN серверин кантип калыбына келтирүү керек

Сиз резервдик көчүрмөнү калыбына келтирдиңиз, кызмат ишке кирди жана кардар биринчи аракетте туташты. Бул ийгилик — капкан. Калыбына келтирүү сервердин сүрөт тартылган учурдагы файлдарын кайтарат, ошондон бери өзгөргөн уруксат абалын эмес, жана эски акыркы чекит дагы жеткиликтүү болсо, азыр бир идентификаторго жооп берген эки машина бар. Чечим жакшыраак резервдик көчүрмө эмес; чечим — калыбына келтирилген хост бир кол алышууга жооп бермес мурун эмне боло аларын чечүү.

Резервдик көчүрмө файлдарды кайтарат, ыйгарым укукту эмес

Сүрөттө сервердин конфигурациясы, жеке ачкычтар, сертификат органы, теңдештер тизмеси жана дубалдын эрежелери резервдик көчүрмө жүргөндөгүдөй сакталат. Ал кийин өзгөргөндү сактай албайт: сиз кері кайтарган түзмөктү, кайра берген ачкычты, ноутбук сатылганда алып салган теңдешти, көчүргөн ички тармакты. Калыбына келтирүү файлдарды ошол учурга кайтарат. Ал адамдар ошондон бери кабыл алган чечимдерди кайтарбайт.

Зыян дал ушул боштуктан келет. Резервдик көчүрмөдөн эки жума өткөндөн кийин кері кайтарылган уурдалган ноутбук калыбына келтирилген дарактагы эски CRLге каршы дагы текшерилүүчү сертификат көрсөтөт, жана сервер сиз пенсияга чыгарган түзмөктү кабыл алат. WireGuard түздөн-түз: теңдеш тизмеде болуу менен ыйгарым укуктуу, ошондуктан сүрөттөн кийин өчүрүлгөн теңдеш жөн гана кайра бар. Эч ким бул уруксатты кайра бекиткен жок. Эски файл бекитти.

Сервердин идентификатору менен кардардын идентификатору ар башка жол менен иштебей калат

WireGuardда сервердин идентификатору wg0.conf ичиндеги жеке ачкыч, ошондуктан бул файлды экинчи жеткиликтүү хостко көчүрүү бирдей идентификаторлуу жана бири-бирин билбеген эки сервер жаратат. Ар бири өз теңдештер тизмесин кармайт. Жаңы хосттогу теңдешти алып салыңыз, эскиси аны дагы кабыл алат; биринде wg show текшериңиз жана чындыктын жарымын көрөсүз. Кардарлар да өз алдынча которулбайт: профиль бир Endpoint алып жүрөт, ошондуктан түзмөк конфигурацияланган дареке менен сүйлөшүүнү улантат, ал сиз пенсияга чыгаргыңыз келген хост болушу мүмкүн.

OpenVPN ошол эле катмарда сервер сертификаты, анын жеке ачкычы жана tls-auth же tls-crypt статикалык ачкычы менен кайталанат. Үчөөнү тең көчүрүңүз, кардар үлгүлөрдү ажырата албайт; экөө тең жеткиликтүү болсо, кайра туташуу кайсынысына болбосун түшүшү мүмкүн, жана ар бир журнал жарым окуя айтат. Сертификат органы тереңирээк көчүрмө. Калыбына келтирилген easy-rsa дарагы — сиз берген каалаган атка жарактуу сертификат бере алган экинчи чындык булагы.

Кардарлар да кайталанат, адатта көчүрүүнүн өзүндө. Профилди кошумча түзмөккө «тек текшерүү үчүн» көчүрүү ошол эле ачкыч жана жалпы ат менен экинчи түзмөк жаратат. duplicate-cn болсо, эки сессия тең бир убакта ачык тура алат, ал эми ccd же ifconfig-pool-persist ичиндеги статикалык дарек ыйгаруу баштапкы түзмөк менен кагылышы мүмкүн. Бул бир идентификаторду кийген эки машина, жана сервердин конфигурациясында аларды эч нерсе ажыратпайт.

Эски акыркы чекит үчүн үч абалдын бирин тандаңыз

Калыбына келтирүү эски акыркы чекиттин тагдыры чечилгенден кийин гана коопсуз. Пенсияга чыгарыңыз: эски кызмат жаңы хост ишке кирмес мурун VPN портун кабыл алууну токтотушу керек, ал эми машинага жете албасаңыз, бул портту тармактын четииде административдик булагыңыздан башка баарына тоскон болуңуз. Ошол эле хостту оңдоңуз: идентификаторду кайра колдонуу болот, анткени аны бир машина кармайт, бирок кийин эски ачкычтын дисктик көчүрмөсүн же VM сүрөтүн жок кылыңыз, ал кайтып келбесин. Жеткиликтүүлүк жупун куруңуз: эки хостко өзүнчө хост идентификаторлору жана бир жалпы акыркы чекит керек, мисалы калкыма дарек, жүктөм теңдештиргич же жылдырууга боло турган DNS. Жеке ачкычты көчүрүү failover долбоору эмес; бул бир атты талап кылган эки сервер.

Кардарларга тийүүдөн мурун иш жүзүндө кайсы абалда экениңизди ырастаңыз. VPN портунда жооп берген эски хост кері кайтарылган түзмөктү кабыл алат, DNS жылган болсо да. Угуучуларды жана ачык ачкычты текшериңиз:

ss -lunp | grep -E ':51820|:1194'
wg show wg0
wg pubkey < /etc/wireguard/server.key

Алгач теңдештерди, кері кайтарууларды жана даректерди шайкештештириңиз

Калыбына келтирүү эмнени талап кыларын учурда ыйгарым укуктуу нерселер менен салыштырып тизиңиз. WireGuardда wg show wg0 ар бир теңдештин ачкычын, акыркы чекитин, акыркы кол алышуусун жана өткөрүү эсептегичтерин берет, бул эми сиздин менчигиңизде жок түзмөктү байкоого жетет. Аны түз эле wg set wg0 peer <key> remove аркылуу алып салыңыз, анан конфигурацияны да оңдоп чыгыңыз, болбосо теңдеш кийинки ишке кирүүдө кайтат. wg show wg0 allowed-ips экинчи маселени ачат: бир даректе эки теңдеш, же сиз кайра ыйгарган дарек.

OpenVPNде кері кайтаруулар тизмеси күнү бар файл, ал эми калыбына келтирүү эскисин кайтарышы мүмкүн. Кардарлар туташардан мурун аны текшериңиз:

openssl crl -in /etc/openvpn/crl.pem -noout -lastupdate -nextupdate
grep -E 'crl-verify|reneg-sec' /etc/openvpn/server.conf

Эгер акыркы жаңыртуу кері кайтаруудан мурун болсо, сервер сиз кері кайтарган сертификатты дагы эле сыйлайт. OpenVPN 2.4 жана андан кийинкилер ар бир жаңы туташуу үчүн CRL файлын кайра окушат, ошондуктан файлды алмаштыруу жаңы сессияларды токтотот, бирок орнотулган туннелдер кайра сүйлөшүүгө чейин сакталат; reneg-sec боюнча демейки 3600 секунд, жана аны төмөндөтүү же кызматты кайра баштоо сизге өзгөрүүнү азыр берет. Эски курулуштар файлды анча ишенимдүү кабыл албашы мүмкүн, ошондуктан версиянын жүрүм-турумун ырастай албасаңыз, кайра баштоо керек. wg(8) колдонмосу жогоруда колдонулган теңдешти алып салуу жана allowed-ips синтаксисин камтыйт.

Эми жок түзмөктөрдүн статикалык ыйгарууларын да тазалаңыз. Эски профиль дагы орнотулган кезде пенсияга чыгарылган түзмөктүн дарегин жаңысына кайра колдонуу дал сиз качкыңыз келген кайталанманы жаратат.

Кері кайтарган кардарыңыз менен текшериңиз

Текшерүүлөрдү ирети менен, туннелден тышкаркы тармактан аткарыңыз. Алгач ыйгарым укуктуу түзмөк туташат, түртүлгөн чечүүчү аркылуу DNS чечет жана жеке ресурска жетет. Анан кері кайтарылган түзмөк жаңы эмес, өзүнүн учурдагы профили менен ишке ашпоосу керек. Анан эски акыркы чекитти сырттан сынап көрүңүз: VPN порту дагы кол алышууну бүтүрсө, эски хост тирүү жана кайталануу чыныгы, теориялык эмес.

Калыбына келтирилген хостту кайра жүктөңүз жана ыйгарым укуктуу жана кері кайтарылган текшерүүлөрдү кайталаңыз, анткени ошондо конфигурация файлы иштөө учурунда өзгөрткөнүңүздөн басымдуулук кылат. Хосттун ачык ачкычын же сертификаттын манжа издерин пенсияга чыгарылган машина колдонгону менен салыштырыңыз. Эки тирүү машинадагы дал келген издер калыбына келтирүү идентификаторду клондогонун билдирет; бир машинадагы дал келген издер кадимки. Калыбына келтирилген версияларды, ачкычтардын изин жана кері кайтарылган сериялык номурду же теңдеш ачкычын жазып алыңыз, анан ушул шайкештешүүдөн кийинки резервдик көчүрмөнү алыңыз, ал кызматты азыркы абалында көрсөтсүн. Иштеген сынак кардардын туташуусу эмес. Ал — алып салынган кардар сыртта калат, ал эми эски акыркы чекит жабык калат.