Wéi een VPN-Server ausser Betrib hëlt, ouni Zougang ze hannerloossen

Äre Client verbënnt sech nach um Dag, wou den Ausserbetribsticket opgeet. E Profil sëtzt an der App, en handelt aus, an den Tunnel geet op, wéi wann näischt geännert hätt. Dat ass de Moment fir an déi entgéintgesate Richtung ze schaffen, wéi Dir de Service gebaut hutt: fänkt bei der Clientlëscht un, gitt no baussen bis zum Listener, dann bis zur Firewall, a schléisst mat de Berechtegungen of, déi all déi iwwerliewe. D'VM auszeschalten ass de leschte Schrëtt, net den éischten. Dëse Guide geet dovun aus, datt Dir Konsolzougang zum Host hutt an d'Autoritéit, Clientrecorden an DNS ze änneren.

Gitt als éischt d'Clientlëscht duerch

Maacht op, wat Är Profiller verdeelt, a liest d'Lëscht, ier Dir de Server beréiert. All Androung ass en Apparat, deen gleeft, datt en Zougang huet: Telefonen, Laptops, e Filialrouter, e Container, deen all Nuecht synchroniséiert. Exportéiert déi Lëscht an den Ticket, well wann den Host fort ass, gëtt et keen wg show méi, deen Iech seet, wien verbonne war.

Sortéiert all Apparat an Ersatzendpunkt, net méi néideg oder onbekannt. Den onbekannte Kuerf ass deen, deen zielt, well dat sinn d'Profiller, déi een a Méint an enger Tiräng fënnt an ausprobéiert. Schéckt d'Notiz op deemselwechte Kanal, deen Dir fir Zougangsufroe benotzt, a setzt en Datum dran, wéini den ale Endpunkt ophält ze äntweren.

Rufft d'Identitéit zréck, net just d'Datei

Zwou verschidden Aktioune ginn allebéid Zréckruff genannt. Op WireGuard ass e Peer nëmmen duerch säi ëffentleche Schlëssel autoriséiert, deen an enger Peer-Sektioun mat engem AllowedIPs-Androung erschéngt, also ännert d'Läschen vun der Konfiguratiounsdatei um Laptop näischt um Server. Huelt de Peer-Block ewech a gitt d'Datei nach eng Kéier un, ouni d'Peeren ze verléieren, déi Dir behält, wéi et de wg(8)-Handbuch beschreift:

wg show
wg set wg0 peer <CLIENT_PUBLIC_KEY> remove
wg syncconf wg0 <(wg-quick strip wg0)

wg syncconf ass deen Deel, deen Iech eng Maintenance-Fënster spuert. En baut d'Interface aus der Datei op der Plaz nei op, sou datt d'Ewechhuele vun engem Peer den Tunnel net ofräisst, deen all déi aner benotzen. Wann Dir den ganzen Host amplaz vun engem Peer ausser Betrib hëlt, spillt d'Reiefolleg nach eng Roll, well deene Schlësselen anzwousch anescht ka vertraut ginn.

Bei enger X.509-Konfiguratioun ass de Zréckruffschrëtt d'Zertifikat, net d'Datei: openssl ca -revoke client.crt an duerno openssl ca -gencrl -out crl.pem. Dat huet nëmmen do Wierkung, wou de Verifizéierer et liest, wat heescht, datt en OpenVPN Server mat crl-verify konfiguréiert an duerno nei gelueden. Wann dës Gateway den eenzegen Notzer vun där CA ass, verléiert d'CRL den Dag hir Bedeitung, wou se stierft; wann déiselwecht CA fir eng zweet Gateway ënnerschreift, funktionéiert en Zertifikat, dat Dir ni zréckgeruff hutt, do weider.

Konten sinn den drëtten Fall an deen, deen am dackste vergiess gëtt. Wéi de Gateway sech géint RADIUS, LDAP oder en gehosteten Identitéitsprovider authentifiéiert huet, lieft de Kont ausserhalb vun der VPN. Deaktivéiert en am Verzeechnes. D'Läschen vun enger Benotzerstanza um Server léisst eng gëlteg Berechtegung, déi den Ersatzendpunkt akzeptéiert, soubal en op dat selwecht Verzeechnes weist.

Maacht d'Listeneren an d'Weeër dohi zou

Stoppt de Service esou, datt e en Neistart iwwerlieft, a bestätegt dann mat enger Socketlëscht an net mam Unitéitsstatus. systemctl disable --now wg-quick@wg0 stoppt d'Interface an hëlt d'Routen a Regelen ewech, déi wg-quick bäigefüügt huet; systemctl disable --now openvpn-server@server mécht datselwecht fir eng templatebaséiert OpenVPN-Instanz. Follegt béide mat ss -lunp an ss -ltnp. En eidelt Resultat fir den ale Port ass deen eenzegen Noweis, deen zielt.

Wat wg-quick bäigefüügt huet, hëlt wg-quick ewech. Wat Dir vun Hand bäigefüügt hutt, bleift: eng persistent NAT-Regel, eng Firewall-Erlaabnis, eng Router-Portweiderleitung, eng Ingress-Regel vun enger Cloud-Sécherheetsgrupp, en Load-Balancer-Listener. Dës mussen express ewechgeholl ginn, an den DNS-Record och, also den A, den AAAA an all CNAME, deen op den Numm weist. En Numm, deen op en doudegen Host opgeléist gëtt, fällt anescht aus wéi en Numm, deen net opgeléist gëtt, an deen Ënnerscheed kascht engem en Nomëtteg.

D'Kopie, déi Dir vergiesst, ass de Klon. En Snapshot oder eng VM, déi aus engem Backup restauréiert gouf, hält nach d'Hostschlësselen an déi al Peerlëscht, a wann eppes se op déiselwecht Adress zréckbréngt, verbinne sech d'Clienten erëm mat engem Service, deen Dir als ausser Betrib ugesitt. Etikettéiert de Backupset als zu engem stillgeluechte Service gehéierend a haalt en aus automatesche Restauratiounsweeër eraus.

Juegt deem no, wat nach ëmmer op den ale Endpunkt weist

Gecachte Profiller liewen méi laang wéi DNS. Eng gespäichert Konfiguratioun mat enger numerescher Adress wielt weider, nodeems den Record fort ass, an en ëmmer aktive Client probéiert bei all Netzwierkännerung nach eng Kéier. Dat ass Kaméidi an net Zougang, well de Listener zou ass, awer ze wëssen, wat vun deenen zwee Dir ugesitt, entscheet, wéi Dir den Ticket beäntwert.

Duerno keeft d'Ofhängegkeeten, déi keen ënner VPN archivéiert: Uptime-Checken, déi de Port oftasten, Backupjobben, déi Konfiguratioune vum Host gezunn hunn, Automatiséierungsberechtegungen, déi benotzt gi sinn, fir Peer-Androungen ze schécken, Restauratiounskonten, déi just fir dësen Endpunkt ugeleet goufen. Jiddereen ass en Zougangswee mat sengem eegene Liewen a sengem eegene Besëtzer, also kritt jiddereen eng Entscheedung amplaz vun engem stille Läschen.

Iwwerpréift, a schreift et dann op

Den Ausserbetrib ass fäerdeg, wann en Test vun dobaussen esou feelt, wéi Dir et erwaart. Vun engem Netzwierk, dat Dir net kontrolléiert, verbonne mat der aler Adress an dem ale Port. En gefilterte oder refuséierte Resultat ass de Succèsfall. An der Client-App bestätegt, datt de Profil ewechgeholl an net just ausgeschalt gouf, an datt kee Verwaltungsprofil en diskret nees derbäisetzt.

Duerno registréiert, wat Dir gemaach hutt: Endpunkt, Datum, zréckgeruff Schlësselen an Zertifikaten, deaktivéiert Konten, wou d'Backupen sinn. Wien déi nächst Kéier eng al Konfiguratioun fënnt, muss äntweren, ob se zréckgeruff oder just geläscht gouf, ouni ze roden, an eng kuerz Tabell am Ticket mécht dat.

Ier Dir den Ticket zoumaacht:

• Clientprofiller ewechgeholl oder ersat, onbekannt Apparater gekläert
• Peeren ewechgeholl an d'Konfiguratioun nees ugewannt, oder Zertifikaten zréckgeruff an d'CRL publizéiert
• Verzeechneskonten deaktivéiert, net just lokal Dateien geläscht
• Service deaktivéiert, kee Listener um ale Port bliwwen
• Firewall, Portweiderleitung, Sécherheetsgrupp an DNS-Androungen ewechgeholl
• Backupen etikettéiert, Snapshot aus Restauratiounsweeër ausgeschloss
• Iwwerwaachungs- an Automatiséierungsberechtegungen ausser Betrib

Iwwerpréift den Ersatz getrennt, vun engem Client, deen den ale Profil ni hat. Dee eenzegen Test seet Iech, ob Dir e Service ausser Betrib geholl hutt oder just d'Problem ëmbenannt hutt.