Wéi e VPN-Server restauréieren ouni Identitéiten ze duplizéieren

Dir hutt de Backup restauréiert, den Déngscht ass ugaangen, an e Client huet sech beim éischten Versuch verbonnen. Dee Succès ass d'Falle. Eng Restauratioun gëtt d'Dateien zréck, déi den Server am Moment vum Snapshot hat, net den Zougangsstatus, dee sech zënterhier geännert huet, a wann den ale Endpunkt nach erreechbar ass, hutt Dir elo zwou Maschinnen, déi enger Identitéit äntwerten. D'Léisung ass keen besseren Backup; et ass ze entscheeden, wat den restauréierten Host däerf sinn, ier hien engem eenzegen Handshake äntwert.

E Backup gëtt Dateien zréck, net Autoritéit

Den Snapshot enthält d'Serverkonfiguratioun, d'privat Schlësselen, d'Zertifizéierungsautoritéit, d'Peer-Lëscht an d'Firewallregele sou wéi se waren, wéi de Backup gelaf ass. Hie kann net halen, wat sech duerno geännert huet: d'Apparat, deen Dir widderrufft hutt, de Schlëssel, deen Dir nei ausgestallt hutt, de Peer, deen Dir beim Verkaf vun engem Laptop ewechgeholl hutt, d'Subnetz, dat Dir verréckelt hutt. Restauréiere spult d'Dateien op dee Moment zréck. Et spult net d'Entscheedungen zréck, déi d'Leit zënterhier geholl hunn.

Den Schued kënnt genee aus dëser Lück. En geklauten Laptop, deen zwou Woche nom Backup widderrufft gouf, weist en Zertifikat vir, dat nach géint déi méi al CRL am restauréierten Bam validéiert, an den Server akzeptéiert en Apparat, deen Dir ausser Betrib geholl hutt. WireGuard ass méi direkt: e Peer ass autoriséiert well en an der Lëscht steet, also ass en Peer, deen nom Snapshot geläscht gouf, einfach erëm do. Et huet een deen Zougang net erëm guttgeheescht. Déi al Datei huet et gemaach.

Server-Identitéit a Client-Identitéit versoen op verschidde Manéieren

Bei WireGuard ass d'Identitéit vum Server de private Schlëssel an wg0.conf, also schaaft d'Kopéiere vun dëser Datei op en zweeten erreechbaren Host zwee Server mat der selwechter Identitéit an ouni Wëssen vuneneen. Jiddereen hält seng eegen Peer-Lëscht. Huelt e Peer um neien Host ewech an deen alen akzeptéiert en nach ëmmer; kontrolléiert wg show op engem a Dir gesitt d'Halschent vun der Wourecht. D'Cliente wiesselen och net vun sech aus: e Profil dréit een Endpoint, also schwätzt en Apparat weider mat der Adress, mat där en konfiguréiert gouf, wat den Host ka sinn, deen Dir wëllt ausser Betrib huelen.

OpenVPN duplizéiert sech op der selwechter Schicht mat engem Serverzertifikat, sengem private Schlëssel an dem statesche Schlëssel tls-auth oder tls-crypt. Kopéiert all dräi an e Client kann d'Instanzen net ënnerscheeden; wann allebéid erreechbar sinn, kann eng Reconnectioun op jidweder landen, an all Logdatei erzielt eng hallef Geschicht. D'Zertifizéierungsautoritéit ass déi déif Kopie. En restauréierten easy-rsa Bam ass eng zweet Wourechtquell, déi en gültegen Zertifikat fir all Numm ausstelle kann, deen Dir him gitt.

D'Cliente ginn och duplizéiert, meeschtens während der Migratioun selwer. E Profil op en Ersatzapparat ze kopéieren «just fir ze testen» produzéiert en zweeten Apparat mat dem selwechte Schlëssel an dem selwechten gemeinsamen Numm. Mat duplicate-cn kënnen zwou Sessiounen zur selwechter Zäit oppe bleiwen, an eng statesch Adresszouweisung an ccd oder ifconfig-pool-persist kann mat dem originale Apparat kollidéieren. Dat sinn zwou Maschinnen mat enger Identitéit, an näischt an der Serverkonfiguratioun ënnerscheet se.

Wielt ee vun dräi Zoustänn fir den ale Endpunkt

Eng Restauratioun ass nëmme sécher, wa mat dem ale Endpunkt seng Zukunft entscheet ass. Huelt en ausser Betrib: den ale Service muss ophalen de VPN-Port ze akzeptéieren ier den neien Host start, a wann Dir d'Maschinn net erreecht, blockéiert dee Port um Netzrand fir alles ausser Ärer administrativer Quell. Reparéiert de selwechten Host: d'Identitéit weiderzebruche ass an der Rei, well eng Maschinn se hält, awer zerstéiert duerno d'Diskkopie oder de VM-Snapshot vum ale Schlëssel, dass en net zréckkënnt. Baut en Disponebarkeetspuer: zwee Hëschte brauchen ënnerschiddlech Host-Identitéiten plus een gedeelten Endpunkt, wéi eng flott Adress, e Load Balancer oder DNS, deen Dir kënnt verréckelen. De private Schlëssel ze kopéieren ass keen Failover-Design; et sinn zwee Server, déi een Numm behaapten.

Bestätegt a wéi engem Zoustänn Dir wierklech sidd, ier Dir Cliente beréiert. Den alen Host, deen um VPN-Port äntwert, ass deen, deen den widderrufften Apparat akzeptéieren, och wann DNS sech verréckelt huet. Kontrolléiert d'Lauschterer an dee ëffentleche Schlëssel:

ss -lunp | grep -E ':51820|:1194'
wg show wg0
wg pubkey < /etc/wireguard/server.key

Gläicht fir d'éischt Peers, Widderruffungen an Adressen of

Lëscht op, wat d'Restauratioun behaapt géintiwwer deem, wat de Moment autoriséiert ass. Bei WireGuard gëtt wg show wg0 de Schlëssel, den Endpunkt, den leschten Handshake an d'Transferzähler vun all Peer, genuch fir en Apparat ze fannen, deen Dir net méi hutt. Huelt en live mat wg set wg0 peer <key> remove ewech, ännert duerno och d'Konfiguratioun, soss kënnt de Peer beim nächsten Start zréck. wg show wg0 allowed-ips weist dat zweet Problem: zwee Peers op enger Adress, oder eng Adress, déi Dir schonn nei verginn hutt.

Bei OpenVPN ass d'Widderrufflëscht eng Datei mat engem Datum, an eng Restauratioun kann eng al zréckbréngen. Kontrolléiert se ier d'Cliente sech verbannen:

openssl crl -in /etc/openvpn/crl.pem -noout -lastupdate -nextupdate
grep -E 'crl-verify|reneg-sec' /etc/openvpn/server.conf

Wann déi lescht Aktualisatioun virun der Widderruffung ass, respektéiert den Server nach ëmmer en Zertifikat, deen Dir widderrufft hutt. OpenVPN 2.4 a spéider liest d'CRL-Datei fir all nei Verbindung nei, also stoppt d'Auswiessele vun der Datei nei Sessiounen, awer etabléiert Tunnelen bleiwen bis zur Neiverhandlung; den Default vum reneg-sec ass 3600 Sekonnen, an en erofzesetzen oder den Déngscht nei ze starten ass dat, wat Dir d'Ännerung elo gëtt. Méi al Builds huelen d'Datei vläicht net sou zouverlässeg op, also startet nei, wann Dir d'Verhalen vun der Versioun net bestätege kënnt. Den wg(8)-Handbuch deckt d'Peer-Ewechhuelen an d'allowed-ips-Syntax, déi uewen benotzt goufen.

Botzt och statesch Zouweisunge fir Apparaten op, déi et net méi gëtt. D'Adress vun engem ausser Betrib gehollenen Apparat fir en neien ze benotzen, während de ale Profil nach installéiert ass, schaaft genee déi Duplikat, déi Dir wëllt vermeiden.

Verifizéiert mat engem Client, deen Dir widderrufft hutt

Féiert d'Kontrollen an der Rei aus, vun engem Netz ausserhalb vum Tunnel. Fir d'éischt verbënnt sech en autoriséierten Apparat, löst DNS iwwer de gedréckte Resolver op an erreecht eng privat Ressource. Duerno muss de widderrufften Apparat versoen, mat sengem existéierende Profil amplaz engem neien. Duerno probéiert den ale Endpunkt vun dobaussen: wann de VPN-Port nach en Handshake fäerdeg mécht, lieft den alen Host an d'Duplikatioun ass real, net theoretesch.

Start den restauréierten Host nei a widderhuelt d'Kontrollen autoriséiert a widderrufft, well dann gewënnt d'Konfiguratiounsdatei iwwer dat, wat Dir zur Lafzäit geännert hutt. Vergläicht den ëffentleche Schlëssel oder de Zertifikat-Fangerofdrock vum Host mat deem, deen déi ausser Betrib gehollen Maschinn benotzt huet. Iwwereneestëmmend Fangerofdréck op zwou lieweg Maschinne bedeiten, datt d'Restauratioun d'Identitéit geklont huet; iwwereneestëmmend Fangerofdréck op enger Maschinn sinn an der Rei. Notéiert déi restauréiert Versiounen, d'Schlëssel-Fangerofdréck an déi widderrufft Seriennummer oder de Peer-Schlëssel, an hëlt duerno den nächsten Backup no dëser Ofgläichung, dass en den Déngscht representéiert wéi en elo ass. Den Test, dee funktionéiert, ass net datt e Client sech verbënnt. Et ass, datt de Client, deen Dir ewechgeholl hutt, dobaussen bleift, während den alen Endpunkt zou bleift.