ഐഡന്റിറ്റികൾ തനിപ്പകർപ്പാക്കാതെ VPN സെർവർ എങ്ങനെ പുനഃസ്ഥാപിക്കാം

നിങ്ങൾ ബാക്കപ്പ് പുനഃസ്ഥാപിച്ചു, സേവനം ആരംഭിച്ചു, ഒരു ക്ലയന്റ് ആദ്യ ശ്രമത്തിൽ തന്നെ ബന്ധിപ്പിച്ചു. ആ വിജയമാണ് കെണി. പുനഃസ്ഥാപനം സ്നാപ്ഷോട്ട് സമയത്ത് സെർവറിനുണ്ടായിരുന്ന ഫയലുകൾ തിരികെ നൽകുന്നു, അതിനുശേഷം മാറിയ പ്രവേശനാവസ്ഥയല്ല, പഴയ എൻഡ്പോയിന്റ് ഇപ്പോഴും എത്താവുന്നതാണെങ്കിൽ ഇപ്പോൾ ഒരു ഐഡന്റിറ്റിക്ക് ഉത്തരം നൽകുന്ന രണ്ട് യന്ത്രങ്ങൾ ഉണ്ട്. പരിഹാരം മികച്ച ബാക്കപ്പല്ല; ഒരു ഹാൻഡ്ഷേക്കിന് പോലും ഉത്തരം നൽകുന്നതിന് മുമ്പ് പുനഃസ്ഥാപിച്ച ഹോസ്റ്റ് എന്താകാമെന്ന് തീരുമാനിക്കുകയാണ് പരിഹാരം.

ബാക്കപ്പ് ഫയലുകൾ തിരികെ നൽകുന്നു, അധികാരമല്ല

സ്നാപ്ഷോട്ടിൽ സെർവർ കോൺഫിഗറേഷൻ, സ്വകാര്യ കീകൾ, സർട്ടിഫിക്കറ്റ് അതോറിറ്റി, പിയർ പട്ടിക, ഫയർവാൾ നിയമങ്ങൾ എന്നിവ ബാക്കപ്പ് പ്രവർത്തിച്ച സമയത്തെ അവസ്ഥയിൽ അടങ്ങിയിരിക്കുന്നു. പിന്നീട് മാറിയത് അതിൽ ഉണ്ടാകാൻ കഴിയില്ല: നിങ്ങൾ റദ്ദാക്കിയ ഉപകരണം, വീണ്ടും നൽകിയ കീ, ലാപ്ടോപ്പ് വിറ്റപ്പോൾ നീക്കിയ പിയർ, മാറ്റിയ സബ്നെറ്റ്. പുനഃസ്ഥാപനം ഫയലുകളെ ആ നിമിഷത്തിലേക്ക് തിരികെ കൊണ്ടുപോകുന്നു. ആളുകൾ അതിനുശേഷം എടുത്ത തീരുമാനങ്ങളെ തിരികെ കൊണ്ടുപോകുന്നില്ല.

നാശം കൃത്യമായി ഈ വിടവിൽ നിന്നാണ് വരുന്നത്. ബാക്കപ്പിന് രണ്ട് ആഴ്ചയ്ക്ക് ശേഷം റദ്ദാക്കിയ മോഷ്ടിച്ച ലാപ്ടോപ്പ്, പുനഃസ്ഥാപിച്ച മരത്തിലെ പഴയ CRL-നെതിരെ ഇപ്പോഴും സാധുത പരിശോധിക്കുന്ന സർട്ടിഫിക്കറ്റ് അവതരിപ്പിക്കുന്നു, സെർവർ നിങ്ങൾ വിരമിച്ച ഉപകരണം സ്വീകരിക്കുന്നു. WireGuard കൂടുതൽ നേരിട്ടുള്ളതാണ്: പട്ടികയിലുള്ളതുകൊണ്ട് പിയർ അധികാരപ്പെടുത്തപ്പെടുന്നു, അതിനാൽ സ്നാപ്ഷോട്ടിനുശേഷം ഇല്ലാതാക്കിയ പിയർ വെറുതെ വീണ്ടും ഉണ്ട്. ആരും ആ പ്രവേശനം വീണ്ടും അനുവദിച്ചില്ല. പഴയ ഫയൽ ചെയ്തു.

സെർവർ ഐഡന്റിറ്റിയും ക്ലയന്റ് ഐഡന്റിറ്റിയും വ്യത്യസ്ത രീതിയിൽ പരാജയപ്പെടുന്നു

WireGuard-ൽ സെർവർ ഐഡന്റിറ്റി wg0.conf-ലെ സ്വകാര്യ കീയാണ്, അതിനാൽ ആ ഫയൽ രണ്ടാമത്തെ എത്താവുന്ന ഹോസ്റ്റിലേക്ക് പകർത്തുന്നത് ഒരേ ഐഡന്റിറ്റിയുള്ളതും ഒന്നറിയാത്തതുമായ രണ്ട് സെർവറുകൾ സൃഷ്ടിക്കുന്നു. ഓരോന്നും സ്വന്തം പിയർ പട്ടിക സൂക്ഷിക്കുന്നു. പുതിയ ഹോസ്റ്റിൽ പിയർ നീക്കുക, പഴയത് ഇപ്പോഴും അത് സ്വീകരിക്കുന്നു; ഒന്നിൽ wg show പരിശോധിക്കുക, സത്യത്തിന്റെ പകുതി കാണാം. ക്ലയന്റുകളും സ്വയം മാറുന്നില്ല: പ്രൊഫൈൽ ഒരു Endpoint വഹിക്കുന്നു, അതിനാൽ ഉപകരണം കോൺഫിഗർ ചെയ്ത വിലാസവുമായി സംസാരിക്കുന്നത് തുടരുന്നു, അത് നിങ്ങൾ വിരമിക്കാൻ ഉദ്ദേശിച്ച ഹോസ്റ്റ് ആകാം.

OpenVPN അതേ പാളിയിൽ സെർവർ സർട്ടിഫിക്കറ്റ്, അതിന്റെ സ്വകാര്യ കീ, tls-auth അല്ലെങ്കിൽ tls-crypt സ്റ്റാറ്റിക് കീ എന്നിവയാൽ തനിപ്പകർപ്പാകുന്നു. മൂന്നും പകർത്തുക, ക്ലയന്റിന് ഇൻസ്റ്റൻസുകൾ വേർതിരിക്കാനാകില്ല; രണ്ടും എത്താവുന്നതാണെങ്കിൽ പുനർബന്ധനം ഏതിലും എത്താം, ഓരോ ലോഗ് ഫയലും പകുതി കഥ മാത്രം പറയുന്നു. സർട്ടിഫിക്കറ്റ് അതോറിറ്റിയാണ് ആഴത്തിലുള്ള പകർപ്പ്. പുനഃസ്ഥാപിച്ച easy-rsa മരം, നിങ്ങൾ നൽകുന്ന ഏത് പേരിനും സാധുവായ സർട്ടിഫിക്കറ്റ് നൽകാനാകുന്ന രണ്ടാമത്തെ സത്യസ്രോതസ്സാണ്.

ക്ലയന്റുകളും തനിപ്പകർപ്പാകുന്നു, സാധാരണയായി കുടിയേറ്റത്തിന്റെ തന്നെ ഭാഗമായി. «പരീക്ഷിക്കാൻ മാത്രം» എന്ന രീതിയിൽ ഒരു പ്രൊഫൈൽ ബാക്കപ്പ് ഉപകരണത്തിലേക്ക് പകർത്തുന്നത് ഒരേ കീയും പൊതുനാമവുമുള്ള രണ്ടാമത്തെ ഉപകരണം സൃഷ്ടിക്കുന്നു. duplicate-cn ഉണ്ടെങ്കിൽ രണ്ട് സെഷനുകളും ഒരേസമയം തുറന്നിരിക്കാം, ccd അല്ലെങ്കിൽ ifconfig-pool-persist-ലെ സ്റ്റാറ്റിക് വിലാസ നിർണ്ണയം യഥാർത്ഥ ഉപകരണവുമായി കൂട്ടിയിടിക്കാം. ഇവ ഒരു ഐഡന്റിറ്റി ധരിച്ച രണ്ട് യന്ത്രങ്ങളാണ്, സെർവർ കോൺഫിഗറേഷനിൽ ഒന്നും അവയെ വേർതിരിക്കുന്നില്ല.

പഴയ എൻഡ്പോയിന്റിന് മൂന്നിൽ ഒരു അവസ്ഥ തിരഞ്ഞെടുക്കുക

പഴയ എൻഡ്പോയിന്റിന്റെ വിധി തീരുമാനിച്ചാൽ മാത്രമേ പുനഃസ്ഥാപനം സുരക്ഷിതമാകൂ. വിരമിക്കുക: പുതിയ ഹോസ്റ്റ് ആരംഭിക്കുന്നതിന് മുമ്പ് പഴയ സേവനം VPN പോർട്ട് സ്വീകരിക്കുന്നത് നിർത്തണം, യന്ത്രത്തിൽ എത്താനാകുന്നില്ലെങ്കിൽ ആ പോർട്ട് നെറ്റ്വർക്ക് അറ്റത്ത് നിങ്ങളുടെ ഭരണ സ്രോതസ്സ് ഒഴികെ എല്ലാവർക്കും തടയുക. അതേ ഹോസ്റ്റ് നന്നാക്കുക: ഒരു യന്ത്രം അത് കൈവശം വയ്ക്കുന്നതിനാൽ ഐഡന്റിറ്റി വീണ്ടും ഉപയോഗിക്കുന്നത് കുഴപ്പമില്ല, പക്ഷേ പിന്നീട് പഴയ കീയുടെ ഡിസ്ക് പകർപ്പോ VM സ്നാപ്ഷോട്ടോ നശിപ്പിക്കുക, അത് തിരികെ വരാതിരിക്കാൻ. ലഭ്യതാ ജോഡി നിർമ്മിക്കുക: രണ്ട് ഹോസ്റ്റുകൾക്ക് വ്യത്യസ്ത ഹോസ്റ്റ് ഐഡന്റിറ്റികളും ഒരു പങ്കിട്ട എൻഡ്പോയിന്റും വേണം, ഒഴുകുന്ന വിലാസം, ലോഡ് ബാലൻസർ അല്ലെങ്കിൽ നീക്കാവുന്ന DNS പോലെ. സ്വകാര്യ കീ പകർത്തുന്നത് failover രൂപകൽപ്പനയല്ല; ഒരു പേര് അവകാശപ്പെടുന്ന രണ്ട് സെർവറുകളാണ്.

ക്ലയന്റുകളെ സ്പർശിക്കുന്നതിന് മുമ്പ് നിങ്ങൾ യഥാർത്ഥത്തിൽ ഏത് അവസ്ഥയിലാണെന്ന് സ്ഥിരീകരിക്കുക. VPN പോർട്ടിൽ ഉത്തരം നൽകുന്ന പഴയ ഹോസ്റ്റാണ് റദ്ദാക്കിയ ഉപകരണം സ്വീകരിക്കുക, DNS മാറിയാലും. ലിസണർമാരും പൊതു കീയും പരിശോധിക്കുക:

ss -lunp | grep -E ':51820|:1194'
wg show wg0
wg pubkey < /etc/wireguard/server.key

ആദ്യം പിയറുകൾ, റദ്ദാക്കലുകൾ, വിലാസങ്ങൾ എന്നിവ യോജിപ്പിക്കുക

പുനഃസ്ഥാപനം എന്ത് അവകാശപ്പെടുന്നു എന്നത് ഇപ്പോൾ അധികാരപ്പെടുത്തിയിട്ടുള്ളതുമായി താരതമ്യപ്പെടുത്തി പട്ടികപ്പെടുത്തുക. WireGuard-ൽ wg show wg0 ഓരോ പിയറിന്റെയും കീ, എൻഡ്പോയിന്റ്, അവസാന ഹാൻഡ്ഷേക്ക്, കൈമാറ്റ കൗണ്ടറുകൾ നൽകുന്നു, ഇനി നിങ്ങളുടെ കൈവശമില്ലാത്ത ഉപകരണം കണ്ടെത്താൻ അത് മതി. wg set wg0 peer <key> remove ഉപയോഗിച്ച് അത് ജീവനോടെ നീക്കുക, പിന്നീട് കോൺഫിഗറേഷനും തിരുത്തുക, അല്ലെങ്കിൽ അടുത്ത തുടക്കത്തിൽ പിയർ തിരികെ വരും. wg show wg0 allowed-ips രണ്ടാമത്തെ പ്രശ്നം വെളിപ്പെടുത്തുന്നു: ഒരു വിലാസത്തിൽ രണ്ട് പിയറുകൾ, അല്ലെങ്കിൽ നിങ്ങൾ ഇതിനകം പുനർവിനിയോഗിച്ച വിലാസം.

OpenVPN-ൽ റദ്ദാക്കൽ പട്ടിക തീയതിയുള്ള ഒരു ഫയലാണ്, പുനഃസ്ഥാപനം പഴയത് തിരികെ കൊണ്ടുവരാം. ക്ലയന്റുകൾ ബന്ധിപ്പിക്കുന്നതിന് മുമ്പ് അത് പരിശോധിക്കുക:

openssl crl -in /etc/openvpn/crl.pem -noout -lastupdate -nextupdate
grep -E 'crl-verify|reneg-sec' /etc/openvpn/server.conf

അവസാന അപ്ഡേറ്റ് റദ്ദാക്കലിന് മുമ്പാണെങ്കിൽ, നിങ്ങൾ റദ്ദാക്കിയ സർട്ടിഫിക്കറ്റിനെ സെർവർ ഇപ്പോഴും ബഹുമാനിക്കുന്നു. OpenVPN 2.4-ഉം അതിനുശേഷമുള്ളവയും ഓരോ പുതിയ കണക്ഷനും CRL ഫയൽ വീണ്ടും വായിക്കുന്നു, അതിനാൽ ഫയൽ മാറ്റുന്നത് പുതിയ സെഷനുകൾ നിർത്തുന്നു, പക്ഷേ സ്ഥാപിത ടണലുകൾ വീണ്ടും ചർച്ച വരെ നിലനിൽക്കും; reneg-sec-ന്റെ സ്ഥിരസ്ഥിതി 3600 സെക്കൻഡാണ്, അത് കുറയ്ക്കുന്നതോ സേവനം പുനരാരംഭിക്കുന്നതോ ആണ് ഇപ്പോൾ മാറ്റം തരുന്നത്. പഴയ ബിൽഡുകൾ ഫയൽ അത്ര വിശ്വസനീയമായി എടുത്തേക്കില്ല, അതിനാൽ പതിപ്പിന്റെ സ്വഭാവം സ്ഥിരീകരിക്കാനാകാത്തപ്പോൾ പുനരാരംഭിക്കുക. wg(8) കൈപ്പുസ്തകം മുകളിൽ ഉപയോഗിച്ച പിയർ നീക്കലും allowed-ips വാക്യഘടനയും ഉൾക്കൊള്ളുന്നു.

ഇനി ഇല്ലാത്ത ഉപകരണങ്ങളുടെ സ്റ്റാറ്റിക് വിനിയോഗങ്ങളും വൃത്തിയാക്കുക. പഴയ പ്രൊഫൈൽ ഇപ്പോഴും ഇൻസ്റ്റാൾ ചെയ്തിരിക്കെ വിരമിച്ച ഉപകരണത്തിന്റെ വിലാസം പുതിയതിന് വീണ്ടും ഉപയോഗിക്കുന്നത് നിങ്ങൾ ഒഴിവാക്കാൻ ശ്രമിക്കുന്ന തനിപ്പകർപ്പ് തന്നെ സൃഷ്ടിക്കുന്നു.

നിങ്ങൾ റദ്ദാക്കിയ ക്ലയന്റുമായി പരിശോധിക്കുക

ടണലിന് പുറത്തുള്ള നെറ്റ്വർക്കിൽ നിന്ന് ക്രമത്തിൽ പരിശോധനകൾ നടത്തുക. ആദ്യം അധികാരപ്പെടുത്തിയ ഉപകരണം ബന്ധിപ്പിക്കുന്നു, തള്ളിവിട്ട റിസോൾവർ വഴി DNS പരിഹരിക്കുന്നു, സ്വകാര്യ വിഭവത്തിൽ എത്തുന്നു. പിന്നീട് റദ്ദാക്കിയ ഉപകരണം പുതിയതിനുപകരം സ്വന്തം നിലവിലുള്ള പ്രൊഫൈൽ ഉപയോഗിച്ച് പരാജയപ്പെടണം. പിന്നീട് പുറത്തുനിന്ന് പഴയ എൻഡ്പോയിന്റ് പരീക്ഷിക്കുക: VPN പോർട്ട് ഇപ്പോഴും ഹാൻഡ്ഷേക്ക് പൂർത്തിയാക്കുന്നുവെങ്കിൽ പഴയ ഹോസ്റ്റ് ജീവിച്ചിരിക്കുന്നു, തനിപ്പകർപ്പ് യഥാർത്ഥമാണ്, സൈദ്ധാന്തികമല്ല.

പുനഃസ്ഥാപിച്ച ഹോസ്റ്റ് പുനരാരംഭിച്ച് അധികാരപ്പെടുത്തിയതും റദ്ദാക്കിയതുമായ പരിശോധനകൾ ആവർത്തിക്കുക, അപ്പോഴാണ് കോൺഫിഗറേഷൻ ഫയൽ റൺടൈമിൽ നിങ്ങൾ മാറ്റിയതിനെ മറികടക്കുന്നത്. ഹോസ്റ്റിന്റെ പൊതു കീ അല്ലെങ്കിൽ സർട്ടിഫിക്കറ്റ് വിരലടയാളം വിരമിച്ച യന്ത്രം ഉപയോഗിച്ചതുമായി താരതമ്യപ്പെടുത്തുക. രണ്ട് ജീവനുള്ള യന്ത്രങ്ങളിൽ ഒത്തുപോകുന്ന വിരലടയാളങ്ങൾ എന്നാൽ പുനഃസ്ഥാപനം ഐഡന്റിറ്റി ക്ലോൺ ചെയ്തു; ഒരു യന്ത്രത്തിൽ ഒത്തുപോകുന്നത് സാധാരണമാണ്. പുനഃസ്ഥാപിച്ച പതിപ്പുകൾ, കീ വിരലടയാളങ്ങൾ, റദ്ദാക്കിയ ക്രമനമ്പർ അല്ലെങ്കിൽ പിയർ കീ എന്നിവ രേഖപ്പെടുത്തി, ഈ യോജിപ്പിക്കലിന് ശേഷം അടുത്ത ബാക്കപ്പ് എടുക്കുക, അത് സേവനത്തെ ഇപ്പോൾ ഉള്ളതുപോലെ പ്രതിനിധീകരിക്കാൻ. പ്രവർത്തിക്കുന്ന പരീക്ഷ ക്ലയന്റ് ബന്ധിപ്പിക്കുന്നതല്ല. നീക്കിയ ക്ലയന്റ് പുറത്ത് നിൽക്കുന്നതും പഴയ എൻഡ്പോയിന്റ് അടച്ചിരിക്കുന്നതുമാണ്.