പ്രവേശനം ബാക്കിയാക്കാതെ VPN സർവർ വിരമിക്കുന്നതെങ്ങനെ

വിരമിക്കൽ ടിക്കറ്റ് തുറക്കുന്ന ദിവസവും നിങ്ങളുടെ ക്ലൈന്റ് കണക്റ്റ് ചെയ്യുന്നു. ആപ്പിൽ ഒരു പ്രൊഫൈൽ ഇരിക്കുന്നു, അത് ചർച്ച ചെയ്യുന്നു, എന്തും മാറിയിട്ടില്ലാത്തതുപോലെ ടണൽ ഉയരുന്നു. സേവനം നിർമ്മിച്ച ദിശയുടെ വിപരീത ദിശയിൽ പ്രവർത്തിക്കാനുള്ള നിമിഷമാണിത്: ക്ലൈന്റ് പട്ടികയിൽ തുടങ്ങി, പുറത്തേക്ക് ശ്രോതാവിലേക്ക് നടന്ന്, പിന്നെ ഫയർവാളിലേക്ക്, ഒടുവിൽ അവയെല്ലാം അതിജീവിക്കുന്ന ക്രെഡൻഷ്യലുകളിൽ അവസാനിക്കുക. VM ഓഫ് ചെയ്യുന്നത് അവസാന ഘട്ടമാണ്, ആദ്യത്തേതല്ല. ഈ മാർഗ്ഗദർശനം ഹോസ്റ്റിലേക്ക് കൺസോൾ പ്രവേശനവും ക്ലൈന്റ് രേഖകളും DNS എഡിറ്റ് ചെയ്യാനുള്ള അധികാരവും ഉണ്ടെന്ന് അനുമാനിക്കുന്നു.

ആദ്യം ക്ലൈന്റ് പട്ടികയിലൂടെ പോകുക

നിങ്ങളുടെ പ്രൊഫൈലുകൾ വിതരണം ചെയ്യുന്നതെന്തും തുറന്ന് സർവറിൽ തൊടുന്നതിന് മുമ്പ് പട്ടിക വായിക്കുക. ഓരോ എൻട്രിയും പ്രവേശനമുണ്ടെന്ന് വിശ്വസിക്കുന്ന ഒരു ഉപകരണമാണ്: ഫോണുകൾ, ലാപ്ടോപ്പുകൾ, ഒരു ശാഖാ റൗട്ടർ, ഓരോ രാത്രിയും സിങ്ക് ചെയ്യുന്ന ഒരു കണ്ടെയ്നർ. ആ പട്ടിക ടിക്കറ്റിലേക്ക് കയറ്റുമതി ചെയ്യുക, കാരണം ഹോസ്റ്റ് പോയിക്കഴിഞ്ഞാൽ ആരാണ് കണക്റ്റ് ചെയ്തിരുന്നതെന്ന് പറയാൻ wg show ഉണ്ടാകില്ല.

ഓരോ ഉപകരണത്തെയും പകരം എൻഡ്പോയിന്റ്, ഇനി ആവശ്യമില്ല, അല്ലെങ്കിൽ അജ്ഞാതം എന്ന് തരംതിരിക്കുക. അജ്ഞാതരുടെ കുട്ടയാണ് പ്രധാനം, കാരണം മാസങ്ങൾക്ക് ശേഷം ആരെങ്കിലും ഒരു വലിപ്പിൽ കണ്ടെത്തി പരീക്ഷിക്കുന്ന പ്രൊഫൈലുകൾ അവയാണ്. പ്രവേശന അഭ്യർത്ഥനകൾക്ക് ഉപയോഗിക്കുന്ന അതേ ചാനലിൽ അറിയിപ്പ് അയക്കുക, പഴയ എൻഡ്പോയിന്റ് എപ്പോൾ മറുപടി നിർത്തുമെന്ന തീയതി അതിൽ ചേർക്കുക.

ഫയൽ മാത്രമല്ല, ഐഡന്റിറ്റി റദ്ദാക്കുക

രണ്ട് വ്യത്യസ്ത പ്രവർത്തനങ്ങളെയും റദ്ദാക്കൽ എന്ന് വിളിക്കുന്നു. WireGuard-ൽ, ഒരു പീർ AllowedIPs എൻട്രിയുള്ള പീർ വിഭാഗത്തിൽ പ്രത്യക്ഷപ്പെടുന്ന പൊതു കീ കൊണ്ട് മാത്രമാണ് അധികാരപ്പെടുത്തുന്നത്, അതിനാൽ ലാപ്ടോപ്പിൽ നിന്ന് കോൺഫിഗ് ഫയൽ ഇല്ലാതാക്കുന്നത് സർവറിൽ ഒന്നും മാറ്റുന്നില്ല. നിലനിർത്തുന്ന പീറുകളെ വീഴ്ത്താതെ പീർ ബ്ലോക്ക് നീക്കി ഫയൽ വീണ്ടും പ്രയോഗിക്കുക, wg(8) മാനുവൽ വിവരിക്കുന്നതുപോലെ:

wg show
wg set wg0 peer <CLIENT_PUBLIC_KEY> remove
wg syncconf wg0 <(wg-quick strip wg0)

wg syncconf അറ്റകുറ്റപ്പണി ജാലകം ലാഭിക്കുന്ന ഭാഗമാണ്. ഫയലിൽ നിന്ന് ഇന്റർഫേസ് അവിടെത്തന്നെ പുനർനിർമ്മിക്കുന്നു, അതിനാൽ ഒരു പീർ നീക്കുന്നത് ബാക്കിയെല്ലാം ഉപയോഗിക്കുന്ന ടണൽ തകർക്കുന്നില്ല. ഒരു പീറിന് പകരം മുഴുവൻ ഹോസ്റ്റും വിരമിക്കുന്നെങ്കിൽ, ആ കീകളെ മറ്റെവിടെയെങ്കിലും വിശ്വസിക്കാമെന്നതിനാൽ ക്രമം ഇപ്പോഴും പ്രധാനമാണ്.

X.509 സജ്ജീകരണത്തിൽ റദ്ദാക്കൽ ഘട്ടം ഫയലല്ല, സർട്ടിഫിക്കറ്റാണ്: openssl ca -revoke client.crt, തുടർന്ന് openssl ca -gencrl -out crl.pem. പരിശോധകൻ അത് വായിക്കുന്നിടത്ത് മാത്രമാണ് അതിന് ഫലമുള്ളത്, അതായത് OpenVPN സർവർ crl-verify കോൺഫിഗർ ചെയ്ത് പിന്നീട് വീണ്ടും ലോഡ് ചെയ്യുമ്പോൾ. ഈ ഗേറ്റ്വേ ആ CA-യുടെ ഏക ഉപഭോക്താവാണെങ്കിൽ, അത് മരിക്കുന്ന ദിവസം CRL-ന് പ്രസക്തി നഷ്ടമാകും; അതേ CA രണ്ടാമത്തെ ഗേറ്റ്വേയ്ക്ക് ഒപ്പിടുന്നെങ്കിൽ, നിങ്ങൾ ഒരിക്കലും റദ്ദാക്കാത്ത സർട്ടിഫിക്കറ്റ് അവിടെ പ്രവർത്തിക്കുന്നത് തുടരും.

അക്കൗണ്ടുകൾ മൂന്നാമത്തെ കേസും ഏറ്റവും കൂടുതൽ ഒഴിവാക്കപ്പെടുന്നതുമാണ്. ഗേറ്റ്വേ RADIUS, LDAP അല്ലെങ്കിൽ ഹോസ്റ്റ് ചെയ്ത ഐഡന്റിറ്റി ദാതാവിനെതിരെ പ്രാമാണീകരിച്ചപ്പോൾ, അക്കൗണ്ട് VPN-ന് പുറത്താണ് ജീവിക്കുന്നത്. ഡയറക്ടറിയിൽ അത് പ്രവർത്തനരഹിതമാക്കുക. സർവറിലെ ഉപയോക്തൃ സ്റ്റാൻസ ഇല്ലാതാക്കുന്നത് സാധുവായ ഒരു ക്രെഡൻഷ്യൽ അവശേഷിപ്പിക്കും, അത് പകരം എൻഡ്പോയിന്റ് അതേ ഡയറക്ടറിയിലേക്ക് ചൂണ്ടുന്ന നിമിഷം സ്വീകരിക്കും.

ശ്രോതാക്കളും അവയിലേക്കുള്ള വഴികളും അടയ്ക്കുക

വീണ്ടും ബൂട്ട് ചെയ്യുന്നത് അതിജീവിക്കുന്ന രീതിയിൽ സേവനം നിർത്തുക, എന്നിട്ട് യൂണിറ്റ് അവസ്ഥയ്ക്ക് പകരം സോക്കറ്റ് പട്ടിക കൊണ്ട് സ്ഥിരീകരിക്കുക. systemctl disable --now wg-quick@wg0 ഇന്റർഫേസ് നിർത്തി wg-quick ചേർത്ത റൂട്ടുകളും നിയമങ്ങളും നീക്കുന്നു; systemctl disable --now openvpn-server@server ടെംപ്ലേറ്റ് OpenVPN ഇൻസ്റ്റൻസിന് അതേ ചെയ്യുന്നു. ഏതെങ്കിലും ഒന്നിന് ശേഷം ss -lunp, ss -ltnp പ്രവർത്തിപ്പിക്കുക. പഴയ പോർട്ടിനുള്ള ശൂന്യ ഫലം മാത്രമാണ് കണക്കാക്കപ്പെടുന്ന തെളിവ്.

wg-quick ചേർത്തത് wg-quick നീക്കുന്നു. നിങ്ങൾ കൈകൊണ്ട് ചേർത്തത് അവശേഷിക്കുന്നു: സ്ഥിരമായ NAT നിയമം, ഫയർവാൾ അനുമതി, റൗട്ടർ പോർട്ട് ഫോർവേഡ്, ക്ലൗഡ് സുരക്ഷാ ഗ്രൂപ്പ് ഇൻഗ്രസ് നിയമം, ലോഡ് ബാലൻസർ ശ്രോതാവ്. ഇവ വ്യക്തമായി നീക്കണം, DNS റെക്കോർഡും, അതായത് A, AAAA, പേരിലേക്ക് ചൂണ്ടുന്ന ഏത് CNAME-ഉം. മരിച്ച ഹോസ്റ്റിലേക്ക് റിസോൾവ് ചെയ്യുന്ന പേര് റിസോൾവ് ചെയ്യാത്ത പേരിൽ നിന്ന് വ്യത്യസ്തമായി പരാജയപ്പെടും, ആ വ്യത്യാസം ആർക്കെങ്കിലും ഒരു ഉച്ചയ്ക്ക് ശേഷം ചെലവാക്കും.

നിങ്ങൾ മറക്കുന്ന പകർപ്പാണ് ക്ലോൺ. ബാക്കപ്പിൽ നിന്ന് പുനഃസ്ഥാപിച്ച സ്നാപ്പ്ഷോട്ടോ VM-ഓ ഇപ്പോഴും ഹോസ്റ്റ് കീകളും പഴയ പീർ പട്ടികയും കൈവശം വയ്ക്കുന്നു, എന്തെങ്കിലും അതിനെ അതേ വിലാസത്തിലേക്ക് തിരികെ കൊണ്ടുവന്നാൽ, ക്ലൈന്റുകൾ വിരമിച്ചതായി കരുതുന്ന സേവനത്തിലേക്ക് വീണ്ടും കണക്റ്റ് ചെയ്യുന്നു. ബാക്കപ്പ് സെറ്റ് വിരമിച്ച സേവനത്തിന്റേതായി ലേബൽ ചെയ്ത് സ്വയമേവയുള്ള പുനഃസ്ഥാപന മാർഗങ്ങൾക്ക് പുറത്ത് സൂക്ഷിക്കുക.

പഴയ എൻഡ്പോയിന്റിലേക്ക് ഇപ്പോഴും ചൂണ്ടുന്നതിനെ പിന്തുടരുക

കാഷ് ചെയ്ത പ്രൊഫൈലുകൾ DNS-നെ അതിജീവിക്കുന്നു. സംഖ്യാ വിലാസമുള്ള സേവ് ചെയ്ത കോൺഫിഗ് റെക്കോർഡ് പോയതിന് ശേഷവും ഡയൽ ചെയ്യുന്നു, എപ്പോഴും ഓണായിരിക്കുന്ന ക്ലൈന്റ് ഓരോ നെറ്റ്വർക്ക് മാറ്റത്തിലും വീണ്ടും ശ്രമിക്കുന്നു. ശ്രോതാവ് അടച്ചിരിക്കുന്നതിനാൽ അത് പ്രവേശനമല്ല, ശബ്ദമാണ്, പക്ഷേ രണ്ടിൽ ഏതിനെയാണ് നോക്കുന്നതെന്ന് അറിയുന്നത് ടിക്കറ്റിന് എങ്ങനെ ഉത്തരം നൽകണമെന്ന് തീരുമാനിക്കുന്നു.

പിന്നെ ആരും VPN-ന് കീഴിൽ ആർക്കൈവ് ചെയ്യാത്ത ആശ്രിതത്വങ്ങൾ തൂത്തുകൂട്ടുക: പോർട്ട് തപ്പിനോക്കുന്ന അപ്ടൈം പരിശോധനകൾ, ഹോസ്റ്റിൽ നിന്ന് കോൺഫിഗുകൾ വലിച്ച ബാക്കപ്പ് ജോലികൾ, പീർ എൻട്രികൾ തള്ളാൻ ഉപയോഗിച്ച ഓട്ടോമേഷൻ ക്രെഡൻഷ്യലുകൾ, ഈ എൻഡ്പോയിന്റിന് വേണ്ടി മാത്രം സൃഷ്ടിച്ച വീണ്ടെടുപ്പ് അക്കൗണ്ടുകൾ. ഓരോന്നും സ്വന്തം ആയുസ്സും സ്വന്തം ഉടമയുമുള്ള പ്രവേശന മാർഗമാണ്, അതിനാൽ ഓരോന്നും നിശ്ശബ്ദമായി ഇല്ലാതാക്കുന്നതിന് പകരം ഒരു തീരുമാനം സ്വീകരിക്കുന്നു.

പരിശോധിച്ച്, പിന്നെ എഴുതിവയ്ക്കുക

പുറത്തുനിന്നുള്ള ഒരു പരീക്ഷ നിങ്ങൾ പ്രതീക്ഷിക്കുന്ന രീതിയിൽ പരാജയപ്പെടുമ്പോൾ വിരമിക്കൽ പൂർത്തിയാകുന്നു. നിങ്ങൾ നിയന്ത്രിക്കാത്ത ഒരു നെറ്റ്വർക്കിൽ നിന്ന് പഴയ വിലാസത്തിലേക്കും പോർട്ടിലേക്കും കണക്റ്റ് ചെയ്യുക. ഫിൽട്ടർ ചെയ്തതോ നിരസിച്ചതോ ആയ ഫലമാണ് വിജയകരമായ കേസ്. ക്ലൈന്റ് ആപ്പിൽ, പ്രൊഫൈൽ ഓഫ് ചെയ്തതല്ല, നീക്കം ചെയ്തതാണെന്നും ഒരു മാനേജ്മെന്റ് പ്രൊഫൈലും അത് നിശ്ശബ്ദമായി വീണ്ടും ചേർക്കുന്നില്ലെന്നും സ്ഥിരീകരിക്കുക.

പിന്നെ നിങ്ങൾ ചെയ്തത് രേഖപ്പെടുത്തുക: എൻഡ്പോയിന്റ്, തീയതി, റദ്ദാക്കിയ കീകളും സർട്ടിഫിക്കറ്റുകളും, പ്രവർത്തനരഹിതമാക്കിയ അക്കൗണ്ടുകൾ, ബാക്കപ്പുകൾ എവിടെയാണ്. പിന്നീട് പഴയ കോൺഫിഗ് കണ്ടെത്തുന്ന ആരും ഊഹിക്കാതെ അത് റദ്ദാക്കിയതാണോ അതോ വെറും ഇല്ലാതാക്കിയതാണോ എന്ന് ഉത്തരം നൽകണം, ടിക്കറ്റിലെ ഒരു ചെറിയ പട്ടിക അത് ചെയ്യുന്നു.

ടിക്കറ്റ് അടയ്ക്കുന്നതിന് മുമ്പ്:

• ക്ലൈന്റ് പ്രൊഫൈലുകൾ നീക്കം ചെയ്തു അല്ലെങ്കിൽ മാറ്റി, അജ്ഞാത ഉപകരണങ്ങൾ പരിഹരിച്ചു
• പീറുകൾ നീക്കി കോൺഫിഗ് വീണ്ടും പ്രയോഗിച്ചു, അല്ലെങ്കിൽ സർട്ടിഫിക്കറ്റുകൾ റദ്ദാക്കി CRL പ്രസിദ്ധീകരിച്ചു
• ഡയറക്ടറി അക്കൗണ്ടുകൾ പ്രവർത്തനരഹിതമാക്കി, പ്രാദേശിക ഫയലുകൾ മാത്രം ഇല്ലാതാക്കിയതല്ല
• സേവനം പ്രവർത്തനരഹിതമാക്കി, പഴയ പോർട്ടിൽ ശ്രോതാവ് ബാക്കിയില്ല
• ഫയർവാൾ, പോർട്ട് ഫോർവേഡ്, സുരക്ഷാ ഗ്രൂപ്പ്, DNS എൻട്രികൾ നീക്കി
• ബാക്കപ്പുകൾ ലേബൽ ചെയ്തു, സ്നാപ്പ്ഷോട്ട് പുനഃസ്ഥാപന മാർഗങ്ങളിൽ നിന്ന് ഒഴിവാക്കി
• മോണിറ്ററിംഗ്, ഓട്ടോമേഷൻ ക്രെഡൻഷ്യലുകൾ വിരമിച്ചു

പകരമുള്ളത് വെവ്വേറെ പരിശോധിക്കുക, ഒരിക്കലും പഴയ പ്രൊഫൈൽ കൈവശം വെച്ചിട്ടില്ലാത്ത ഒരു ക്ലൈന്റിൽ നിന്ന്. ആ ഒരു പരീക്ഷ മാത്രമാണ് നിങ്ങൾ ഒരു സേവനം വിരമിച്ചതാണോ അതോ പ്രശ്നത്തിന് പേരുമാറ്റിയതാണോ എന്ന് പറയുന്നത്.