Kā izbeigt VPN servera darbību, neatstājot piekļuvi

Jūsu klients joprojām pieslēdzas dienā, kad tiek atvērts izbeigšanas biļete. Lietotnē sēž profils, tas pārrunā, un tunelis paceļas tā, it kā nekas nebūtu mainījies. Šis ir brīdis strādāt pretējā virzienā tam, kā jūs būvējāt pakalpojumu: sāciet ar klientu sarakstu, ejiet uz āru līdz klausītājam, pēc tam līdz ugunsmūrim, un beidziet ar akreditācijas datiem, kas pārdzīvo tos visus. VM izslēgšana ir pēdējais solis, nevis pirmais. Šis ceļvedis pieņem, ka jums ir konsoles piekļuve resursdatoram un tiesības rediģēt klientu ierakstus un DNS.

Vispirms izstaigājiet klientu sarakstu

Atveriet visu, kas izplata jūsu profilus, un izlasiet sarakstu, pirms aiztiekat serveri. Katrs ieraksts ir ierīce, kas tic, ka tai ir piekļuve: tālruņi, klēpjdatori, filiāles maršrutētājs, konteiners, kas sinhronizējas katru nakti. Eksportējiet šo sarakstu biļetē, jo pēc tam, kad resursdators būs pazudis, vairs nebūs wg show, kas pateiktu, kurš bija pieslēgts.

Sakārtojiet katru ierīci kā aizvietojošu galapunktu, vairs nav nepieciešams vai nezināms. Svarīgākais ir nezināmo kaste, jo tie ir profili, ko kāds pēc mēnešiem atradīs atvilktnē un izmēģinās. Nosūtiet paziņojumu tajā pašā kanālā, ko izmantojat piekļuves pieprasījumiem, un ierakstiet tajā datumu, kad vecais galapunkts pārstās atbildēt.

Atsauciet identitāti, nevis tikai failu

Divas dažādas darbības abas sauc par atsaukšanu. WireGuard gadījumā vienaudzis ir autorizēts tikai ar savu publisko atslēgu, kas parādās vienaudža sadaļā ar AllowedIPs ierakstu, tāpēc konfigurācijas faila dzēšana no klēpjdatora serverī neko nemaina. Noņemiet vienaudža bloku un atkārtoti piemērojiet failu, neizmetot tos vienaudžus, ko paturat, kā apraksta wg(8) rokasgrāmata:

wg show
wg set wg0 peer <CLIENT_PUBLIC_KEY> remove
wg syncconf wg0 <(wg-quick strip wg0)

wg syncconf ir daļa, kas ietaupa apkopes logu. Tas pārbūvē saskarni no faila uz vietas, tāpēc viena vienaudža noņemšana nesabojā tuneli, ko izmanto visi pārējie. Ja izbeidzat visu resursdatoru, nevis vienu vienaudzi, secība joprojām ir svarīga, jo šīm atslēgām var uzticēties citur.

Ar X.509 konfigurāciju atsaukšanas solis ir sertifikāts, nevis fails: openssl ca -revoke client.crt un pēc tam openssl ca -gencrl -out crl.pem. Tam ir ietekme tikai tur, kur pārbaudītājs to lasa, kas nozīmē, ka OpenVPN serveris ar konfigurētu crl-verify un pēc tam pārlādētu. Ja šis vārteja ir vienīgais tā CA lietotājs, CRL zaudē nozīmi dienā, kad tas mirst; ja tā pati CA paraksta otrai vārtejai, sertifikāts, ko jūs nekad neatsaucāt, tur turpina darboties.

Konti ir trešais gadījums un visbiežāk izlaistais. Kad vārteja autentificējās pret RADIUS, LDAP vai mitinātu identitātes nodrošinātāju, konts dzīvo ārpus VPN. Atspējojiet to direktorijā. Lietotāja stanzas dzēšana serverī atstāj derīgus akreditācijas datus, ko aizvietojošais galapunkts pieņems tajā brīdī, kad tas norādīs uz to pašu direktoriju.

Aizveriet klausītājus un ceļus uz tiem

Apturiet pakalpojumu tā, lai tas pārdzīvotu restartu, pēc tam apstipriniet ar ligzdu sarakstu, nevis vienības stāvokli. systemctl disable --now wg-quick@wg0 aptur saskarni un noņem maršrutus un noteikumus, ko pievienoja wg-quick; systemctl disable --now openvpn-server@server dara to pašu veidnes OpenVPN instancē. Pēc jebkura izpildiet ss -lunp un ss -ltnp. Tukšs rezultāts vecajam portam ir vienīgais pierādījums, kas skaitās.

Ko wg-quick pievienoja, to wg-quick noņem. Ko pievienojāt ar roku, paliek: pastāvīgs NAT noteikums, ugunsmūra atļauja, maršrutētāja porta pāradresācija, mākoņa drošības grupas ienākošais noteikums, slodzes balansētāja klausītājs. Tie ir skaidri jānoņem, un arī DNS ieraksts, proti, A, AAAA un jebkurš CNAME, kas norāda uz vārdu. Vārds, kas atrisinās uz mirušu resursdatoru, neizdodas citādi nekā vārds, kas neatrisinās, un šī atšķirība kādam izmaksās pēcpusdienu.

Kopija, ko aizmirstat, ir klons. Momentuzņēmums vai VM, kas atjaunota no dublējuma, joprojām glabā resursdatora atslēgas un veco vienaudžu sarakstu, un, ja kaut kas to atgriež tajā pašā adresē, klienti atkal pieslēdzas pakalpojumam, ko uzskatāt par izbeigtu. Atzīmējiet dublējumu kopu kā piederīgu izbeigtam pakalpojumam un turiet to ārpus automātiskajiem atjaunošanas ceļiem.

Dzenieties pakaļ tam, kas joprojām norāda uz veco galapunktu

Kešatmiņā saglabātie profili pārdzīvo DNS. Saglabāta konfigurācija ar skaitlisku adresi turpina zvanīt pēc tam, kad ieraksts ir pazudis, un pastāvīgi ieslēgts klients mēģina vēlreiz pie katras tīkla maiņas. Tas ir troksnis, nevis piekļuve, jo klausītājs ir aizvērts, bet zināšana, kuru no diviem jūs skatāties, nosaka, kā atbildēsiet uz biļeti.

Pēc tam izslaucīt atkarības, ko neviens nearhivē zem VPN: darbības laika pārbaudes, kas tausta portu, dublējumu darbi, kas vilka konfigurācijas no resursdatora, automatizācijas akreditācijas dati, kas izmantoti vienaudžu ierakstu virzīšanai, atjaunošanas konti, kas izveidoti tikai šim galapunktam. Katrs ir piekļuves ceļš ar savu mūžu un savu īpašnieku, tāpēc katrs saņem lēmumu, nevis klusu dzēšanu.

Pārbaudiet un pēc tam pierakstiet

Izbeigšana ir pabeigta, kad tests no ārpuses neizdodas tā, kā jūs gaidāt. No tīkla, ko nekontrolējat, pieslēdzieties vecajai adresei un portam. Filtrēts vai atteikts rezultāts ir veiksmes gadījums. Klienta lietotnē apstipriniet, ka profils ir noņemts, nevis vienkārši izslēgts, un ka neviens pārvaldības profils to klusi atkal nepievieno.

Pēc tam pierakstiet, ko izdarījāt: galapunkts, datums, atsauktās atslēgas un sertifikāti, atspējotie konti, kur atrodas dublējumi. Ikvienam, kas nākamreiz atradīs vecu konfigurāciju, jāatbild, vai tā tika atsaukta vai vienkārši dzēsta, nevis jāmin, un īsa tabula biļetē to nodrošina.

Pirms biļetes aizvēršanas:

• klientu profili noņemti vai aizstāti, nezināmās ierīces noskaidrotas
• vienaudži noņemti un konfigurācija atkārtoti piemērota, vai sertifikāti atsaukti un CRL publicēts
• direktorijas konti atspējoti, nevis tikai lokālie faili dzēsti
• pakalpojums atspējots, vecajā portā nav palicis neviens klausītājs
• ugunsmūris, porta pāradresācija, drošības grupa un DNS ieraksti noņemti
• dublējumi atzīmēti, momentuzņēmums izslēgts no atjaunošanas ceļiem
• uzraudzības un automatizācijas akreditācijas dati izbeigti

Pārbaudiet aizvietotāju atsevišķi, no klienta, kam nekad nav bijis vecā profila. Šis viens tests pasaka, vai izbeidzāt pakalpojumu vai tikai pārdēvējāt problēmu.