Kaip išvesti VPN serverį iš eksploatacijos nepaliekant prieigos

Jūsų klientas vis dar jungiasi tą dieną, kai atidaromas išvedimo iš eksploatacijos bilietas. Programėlėje sėdi profilis, jis derasi, ir tunelis pakyla lyg nieko nebūtų pasikeitę. Tai akimirka dirbti priešinga kryptimi, nei statėte paslaugą: pradėkite nuo klientų sąrašo, eikite į išorę iki klausytuvo, tada iki ugniasienės, ir pabaikite kredencialais, kurie pergyvena juos visus. VM išjungimas yra paskutinis žingsnis, o ne pirmas. Šis vadovas daro prielaidą, kad turite konsolės prieigą prie pagrindinio kompiuterio ir teisę redaguoti klientų įrašus bei DNS.

Pirmiausia pereikite klientų sąrašą

Atidarykite viską, kas platina jūsų profilius, ir perskaitykite sąrašą prieš liesdami serverį. Kiekvienas įrašas yra įrenginys, kuris tiki turįs prieigą: telefonai, nešiojamieji, filialo maršrutizatorius, konteineris, kuris sinchronizuojasi kiekvieną naktį. Eksportuokite tą sąrašą į bilietą, nes kai pagrindinio kompiuterio nebebus, nebus jokio wg show, kuris pasakytų, kas buvo prisijungęs.

Suskirstykite kiekvieną įrenginį į pakaitinį galinį tašką, nebereikalingą arba nežinomą. Nežinomų krepšys yra svarbiausias, nes tai profiliai, kuriuos kas nors po mėnesių ras stalčiuje ir išbandys. Išsiųskite pranešimą tuo pačiu kanalu, kurį naudojate prieigos prašymams, ir įrašykite datą, kada senasis galinis taškas nustos atsakinėti.

Atšaukite tapatybę, o ne tik failą

Du skirtingi veiksmai abu vadinami atšaukimu. WireGuard atveju peer yra įgaliotas tik savo viešuoju raktu, kuris pasirodo peer sekcijoje su AllowedIPs įrašu, todėl konfigūracijos failo ištrynimas iš nešiojamojo kompiuterio serveryje nieko nekeičia. Pašalinkite peer bloką ir iš naujo pritaikykite failą nenumesdami peer, kuriuos paliekate, kaip aprašo wg(8) vadovas:

wg show
wg set wg0 peer <CLIENT_PUBLIC_KEY> remove
wg syncconf wg0 <(wg-quick strip wg0)

wg syncconf yra dalis, kuri sutaupo techninės priežiūros langą. Jis atkuria sąsają iš failo vietoje, todėl vieno peer pašalinimas nesugriauna tunelio, kurį naudoja visi kiti. Jei išvedate visą pagrindinį kompiuterį, o ne vieną peer, tvarka vis tiek svarbi, nes tais raktais gali būti pasitikima kitur.

Naudojant X.509 konfigūraciją atšaukimo žingsnis yra sertifikatas, o ne failas: openssl ca -revoke client.crt ir tada openssl ca -gencrl -out crl.pem. Tai veikia tik ten, kur tikrintuvas jį skaito, o tai reiškia, kad OpenVPN serveris su sukonfigūruotu crl-verify ir vėliau iš naujo įkeltu. Jei šis šliuzas yra vienintelis tos CA naudotojas, CRL nustoja būti svarbus tą dieną, kai jis miršta; jei ta pati CA pasirašo antram šliuzui, sertifikatas, kurio niekada neatšaukėte, ten toliau veikia.

Paskyros yra trečiasis atvejis ir dažniausiai praleidžiamas. Kai šliuzas autentifikavosi prieš RADIUS, LDAP ar prieglobos tapatybės teikėją, paskyra gyvena už VPN ribų. Išjunkite ją kataloge. Naudotojo stanzos ištrynimas serveryje palieka galiojančius kredencialus, kuriuos pakaitinis galinis taškas priims tą akimirką, kai nukreips į tą patį katalogą.

Uždarykite klausytuvus ir kelius į juos

Sustabdykite paslaugą taip, kad ji išgyventų perkrovimą, tada patvirtinkite lizdų sąrašu, o ne įrenginio būsena. systemctl disable --now wg-quick@wg0 sustabdo sąsają ir pašalina maršrutus bei taisykles, kuriuos pridėjo wg-quick; systemctl disable --now openvpn-server@server daro tą patį šablono OpenVPN egzemplioriui. Po bet kurio atlikite ss -lunp ir ss -ltnp. Tuščias rezultatas senajam prievadui yra vienintelis įrodymas, kuris skaičiuojamas.

Ką wg-quick pridėjo, wg-quick ir pašalina. Ką pridėjote rankomis, lieka: nuolatinė NAT taisyklė, ugniasienės leidimas, maršrutizatoriaus prievado peradresavimas, debesijos saugumo grupės įėjimo taisyklė, apkrovos balansuotojo klausytuvas. Juos reikia aiškiai pašalinti, taip pat DNS įrašą, tai yra A, AAAA ir bet kurį CNAME, nurodantį į vardą. Vardas, kuris išsprendžiamas į negyvą kompiuterį, nepavyksta kitaip nei vardas, kuris neišsprendžiamas, ir tas skirtumas kam nors kainuos popietę.

Kopija, kurią pamirštate, yra klonas. Momentinė kopija ar VM, atkurta iš atsarginės kopijos, vis dar laiko pagrindinio kompiuterio raktus ir seną peer sąrašą, ir jei kas nors ją grąžina tuo pačiu adresu, klientai vėl jungiasi prie paslaugos, kurią laikote išvesta. Pažymėkite atsarginių kopijų rinkinį kaip priklausantį išjungtai paslaugai ir laikykite jį už automatinių atkūrimo kelių.

Vykitės tai, kas vis dar rodo į seną galinį tašką

Talpykloje esantys profiliai pergyvena DNS. Išsaugota konfigūracija su skaitiniu adresu toliau skambina po to, kai įrašas dingsta, o nuolat įjungtas klientas bando iš naujo prie kiekvieno tinklo pasikeitimo. Tai triukšmas, o ne prieiga, nes klausytuvas uždarytas, bet žinojimas, kurį iš dviejų matote, nulemia, kaip atsakysite į bilietą.

Tada nušluokite priklausomybes, kurių niekas nesuskirsto po VPN: veikimo laiko patikros, kurios čiupinėja prievadą, atsarginių kopijų užduotys, kurios traukė konfigūracijas iš pagrindinio kompiuterio, automatizavimo kredencialai, naudoti stumiant peer įrašus, atkūrimo paskyros, sukurtos tik šiam galiniam taškui. Kiekviena yra prieigos kelias su savo gyvenimu ir savo savininku, todėl kiekviena gauna sprendimą, o ne tylų ištrynimą.

Patikrinkite, tada užrašykite

Išvedimas baigiamas, kai bandymas iš išorės nepavyksta taip, kaip tikitės. Iš tinklo, kurio nekontroliuojate, prisijunkite prie seno adreso ir prievado. Filtruotas arba atmestas rezultatas yra sėkmės atvejis. Kliento programėlėje patvirtinkite, kad profilis pašalintas, o ne tik išjungtas, ir kad joks valdymo profilis jo tyliai vėl neprideda.

Tada užrašykite, ką padarėte: galinis taškas, data, atšaukti raktai ir sertifikatai, išjungtos paskyros, kur yra atsarginės kopijos. Kas nors kitą kartą radęs seną konfigūraciją turi atsakyti, ar ji buvo atšaukta, ar tik ištrinta, nespėliodamas, ir trumpa lentelė biliete tai padaro.

Prieš uždarydami bilietą:

• klientų profiliai pašalinti arba pakeisti, nežinomi įrenginiai išspręsti
• peer pašalinti ir konfigūracija iš naujo pritaikyta, arba sertifikatai atšaukti ir CRL paskelbtas
• katalogo paskyros išjungtos, o ne tik vietiniai failai ištrinti
• paslauga išjungta, senajame prievade nebeliko klausytuvo
• ugniasienė, prievado peradresavimas, saugumo grupė ir DNS įrašai pašalinti
• atsarginės kopijos pažymėtos, momentinė kopija neįtraukta į atkūrimo kelius
• stebėjimo ir automatizavimo kredencialai išvesti

Patikrinkite pakaitalą atskirai, iš kliento, kuris niekada neturėjo seno profilio. Tas vienas bandymas pasako, ar išvedėte paslaugą, ar tik pervadinote problemą.