VPN серверийг нэвтрэх эрх үлдээлгүйгээр ашиглалтаас гаргах нь

Таны клиент ашиглалтаас гаргах тасалбар нээгдэх өдөр ч холбогдсоор байна. Програмд профайл сууж, тэр хэлэлцээр хийж, юу ч өөрчлөгдөөгүй мэт туннель босдог. Энэ бол үйлчилгээг хэрхэн барьсны эсрэг чиглэлд ажиллах мөч юм: клиентийн жагсаалтаас эхэлж, гадагш сонсогч руу яв, дараа нь галт хана руу, эцэст нь тэд бүгдээс урт насалдаг итгэмжлэлүүдээр дуусга. VM-ийг унтраах нь эхний биш, сүүлийн алхам юм. Энэхүү гарын авлага нь танд хост руу консолын хандалт, клиентийн бичлэг болон DNS засах эрх байгаа гэж үздэг.

Эхлээд клиентийн жагсаалтыг тойр

Профайлуудыг тараадаг бүгдийг нээж, серверт хүрэхээс өмнө жагсаалтыг унш. Бичлэг бүр нэвтрэх эрхтэй гэж үздэг төхөөрөмж: утас, зөөврийн компьютер, салбарын маршрутизатор, шөнө бүр синхрончлогддог контейнер. Тэр жагсаалтыг тасалбарт экспортол, учир нь хост алга болсны дараа хэн холбогдсон байсныг хэлэх wg show байхгүй.

Төхөөрөмж бүрийг орлуулах эцсийн цэг, цаашид хэрэггүй эсвэл үл мэдэгдэх гэж ангил. Хамгийн чухал нь үл мэдэгдэх сагс, учир нь хэдэн сарын дараа хэн нэгэн шургуулганаас олж туршиж үзэх профайлууд тэдгээр юм. Мэдэгдлийг нэвтрэх хүсэлтэд ашигладаг сувгаар илгээж, хуучин эцсийн цэг хэзээ хариу өгөхөө болих огноог бич.

Зөвхөн файл биш, таних тэмдгийг цуцал

Хоёр өөр үйлдлийг хоёуланг нь цуцлалт гэдэг. WireGuard дээр peer нь зөвхөн өөрийн нийтийн түлхүүрээр зөвшөөрөгддөг бөгөөд энэ нь AllowedIPs бичлэгтэй peer хэсэгт харагдана, тиймээс зөөврийн компьютерээс тохиргооны файлыг устгах нь сервер дээр юу ч өөрчлөхгүй. Хадгалж буй peer-үүдийг унагахгүйгээр peer блокыг аваад файлыг дахин хэрэглэ, wg(8) гарын авлагад тайлбарласны дагуу:

wg show
wg set wg0 peer <CLIENT_PUBLIC_KEY> remove
wg syncconf wg0 <(wg-quick strip wg0)

wg syncconf нь засвар үйлчилгээний цонхыг хэмнэдэг хэсэг. Энэ нь интерфэйсийг файлаас шууд байранд нь дахин бүтээдэг тул нэг peer-ийг хасах нь бусад бүхний ашиглаж буй туннелийг нураахгүй. Нэг peer-ийн оронд бүх хостыг гаргаж байгаа бол дараалал одоо ч чухал, учир нь тэдгээр түлхүүрт өөр газар итгэж болно.

X.509 тохиргоонд цуцлах алхам нь файл биш, сертификат: openssl ca -revoke client.crt, дараа нь openssl ca -gencrl -out crl.pem. Энэ нь зөвхөн шалгагч түүнийг уншдаг газарт үйлчилнэ, өөрөөр хэлбэл OpenVPN сервер crl-verify тохируулагдсан, дараа нь дахин ачаалагдсан үед. Хэрэв энэ гарц тэр CA-гийн цорын ганц хэрэглэгч бол CRL тэр үхэх өдөр ач холбогдлоо алдана; хэрэв ижил CA хоёр дахь гарцад гарын үсэг зурвал та хэзээ ч цуцлаагүй сертификат тэнд ажилласаар байна.

Бүртгэл нь гурав дахь тохиолдол бөгөөд хамгийн их алгасагддаг. Гарц RADIUS, LDAP эсвэл хостингийн таних тэмдгийн нийлүүлэгчийн эсрэг баталгаажуулж байсан бол бүртгэл VPN-ээс гадна амьдардаг. Үүнийг лавлахад идэвхгүй болго. Сервер дээр хэрэглэгчийн станзыг устгах нь хүчинтэй итгэмжлэл үлдээдэг бөгөөд орлуулах эцсийн цэг нь ижил лавлах руу заасан мөчид түүнийг хүлээн авна.

Сонсогчид болон тэд рүү хүрэх замыг хаа

Үйлчилгээг дахин ачаалалтыг даах байдлаар зогсоож, дараа нь нэгжийн төлөвөөр биш, сокетийн жагсаалтаар баталгаажуул. systemctl disable --now wg-quick@wg0 интерфэйсийг зогсоож, wg-quick-ийн нэмсэн маршрут, дүрмийг устгана; systemctl disable --now openvpn-server@server загварын OpenVPN инстанцад мөн адил хийнэ. Аль нэгний дараа ss -lunp болон ss -ltnp ажиллуул. Хуучин портын хоосон үр дүн л тооцогдох цорын ганц нотолгоо.

wg-quick юу нэмсэн, wg-quick түүнийг устгана. Та гараар нэмсэн зүйл үлдэнэ: байнгын NAT дүрэм, галт ханын зөвшөөрөл, маршрутизаторын портын дамжуулалт, үүлэн аюулгүй байдлын бүлгийн оролтын дүрэм, ачааллын тэнцвэржүүлэгчийн сонсогч. Эдгээрийг тодорхой устгах ёстой, DNS бичлэгийг ч, өөрөөр хэлбэл нэр рүү заасан A, AAAA, аливаа CNAME. Үхсэн хост руу шийдэгддэг нэр шийдэгддэггүй нэрээс өөрөөр бүтэлгүйтдэг бөгөөд энэ ялгаа хэн нэгэнд нэг үдээс хойш зарцуулна.

Таны мартдаг хуулбар нь клон юм. Нөөц хуулбараас сэргээсэн snapshot эсвэл VM нь хостын түлхүүр, хуучин peer жагсаалтыг хадсар байдаг бөгөөд ямар нэгэн зүйл түүнийг ижил хаяг руу буцаавал клиентүүд ашиглалтаас гарсан гэж бодож буй үйлчилгээнд дахин холбогдоно. Нөөц багцыг ашиглалтаас гарсан үйлчилгээнд хамаарах гэж тэмдэглэж, автомат сэргээх замаас гадуур байлга.

Хуучин эцсийн цэг рүү одоо ч зааж буй зүйлийг мөшгиж яв

Кэшлэгдсэн профайлууд DNS-ээс урт насалдаг. Тоон хаягтай хадгалсан тохиргоо бичлэг алга болсны дараа ч залгасаар байна, байнга асаалттай клиент сүлжээ өөрчлөгдөх бүрт дахин оролддог. Энэ нь нэвтрэлт биш, чимээ шуугиан, учир нь сонсогч хаалттай, гэхдээ хоёрын алийг нь харж байгаагаа мэдэх нь тикетэд хэрхэн хариулахаа шийднэ.

Дараа нь хэн ч VPN-ийн дор архивладдаггүй хамаарлуудыг шүүрд: портыг тэмтэрч шалгадаг ажиллах хугацааны шалгалт, хостоос тохиргоо татдаг нөөц ажлын даалгавар, peer бичлэг түлхэхэд ашигласан автоматжуулалтын итгэмжлэл, зөвхөн энэ эцсийн цэгт зориулж үүсгэсэн сэргээх бүртгэл. Тус бүр өөрийн нас, өөрийн эзэнтэй нэвтрэх зам тул тус бүр чимээгүй устгахын оронд шийдвэр авна.

Шалгаад, дараа нь бичиж тэмдэглэ

Гаднаас хийсэн туршилт таны хүлээсэн байдлаар бүтэлгүйтэх үед ашиглалтаас гаргалт дуусна. Өөрийн хянадаггүй сүлжээнээс хуучин хаяг, порт руу холбогд. Шүүгдсэн эсвэл татгалзсан үр дүн нь амжилтын тохиолдол. Клиент програмд профайл унтраасан биш устгагдсаныг, ямар ч удирдлагын профайл түүнийг чимээгүй дахин нэмэхгүй байгааг баталгаажуул.

Дараа нь юу хийснээ бич: эцсийн цэг, огноо, цуцалсан түлхүүр, сертификат, идэвхгүй болгосон бүртгэл, нөөц хуулбар хаана байгаа. Дараа нь хуучин тохиргоог олсон хэн бүхэн таамаглахгүйгээр цуцалсан уу эсвэл зүгээр устгасан уу гэдэгт хариулах ёстой бөгөөд тасалбар дахь богино хүснэгт үүнийг хийнэ.

Тасалбарыг хаахаас өмнө:

• клиентийн профайлуудыг устгасан эсвэл сольсон, үл мэдэгдэх төхөөрөмжүүд тодорхой болсон
• peer-үүдийг устгаж тохиргоог дахин хэрэглэсэн, эсвэл сертификатуудыг цуцалж CRL нийтэлсэн
• лавлахын бүртгэлүүдийг идэвхгүй болгосон, зөвхөн локал файл устгаагүй
• үйлчилгээг идэвхгүй болгосон, хуучин порт дээр сонсогч үлдээгүй
• галт хана, портын дамжуулалт, аюулгүй байдлын бүлэг, DNS бичлэгүүдийг устгасан
• нөөц хуулбаруудыг тэмдэглэсэн, snapshot-ыг сэргээх замаас хассан
• хяналт, автоматжуулалтын итгэмжлэлүүдийг ашиглалтаас гаргасан

Орлуулагчийг тусад нь шалга, хэзээ ч хуучин профайл хадгалаагүй клиентээс. Тэр нэг туршилт танд үйлчилгээг гаргасан уу эсвэл зөвхөн асуудлын нэрийг сольсон уу гэдгийг хэлнэ.