Идентитүүдийг давхардуулахгүйгээр VPN серверийг хэрхэн сэргээх вэ

Та нөөц хуулбарыг сэргээж, үйлчилгээ ажиллаж эхэлсэн бөгөөд клиент анхны оролдлогоор холбогдсон. Тэр амжилт бол урхи юм. Сэргээлт нь серверийн агшин зуурын хувилбарын үеийн файлуудыг буцаадаг, түүнээс хойш өөрчлөгдсөн хандалтын төлөвийг биш, хэрэв хуучин төгсгөлийн цэг хүртээмжтэй хэвээр байвал одоо нэг идентитэд хариу өгч буй хоёр машин байна. Шийдэл нь илүү сайн нөөц хуулбар биш; шийдэл нь сэргээсэн хост нэг ч гар барилтад хариу өгөхөөс өмнө юу байж болохыг шийдэх явдал юм.

Нөөц хуулбар файлуудыг буцаадаг, эрх мэдлийг биш

Агшин зуурын хувилбарт серверийн тохиргоо, хувийн түлхүүр, гэрчилгээний байгууллага, хөршүүдийн жагсаалт, галт ханын дүрмүүд нөөц хуулбар ажиллах үеийн байдлаар агуулагдана. Дараа нь өөрчлөгдсөнийг агуулж чадахгүй: таны цуцалсан төхөөрөмж, дахин олгосон түлхүүр, зөөврийн компьютер зарагдах үед хасагдсан хөрш, зөөсөн дэд сүлжээ. Сэргээлт файлуудыг тэр агшинд буцаана. Хүмүүсийн түүнээс хойш гаргасан шийдвэрийг буцаадаггүй.

Хохирол яг энэ зөрүүгээс гардаг. Нөөц хуулбараас хоёр долоо хоногийн дараа цуцалсан хулгайлагдсан зөөврийн компьютер сэргээсэн мод дахь хуучин CRL-ийн эсрэг хүчинтэй хэвээр байх гэрчилгээг үзүүлж, сервер таны ажлаас гаргасан төхөөрөмжийг хүлээн авдаг. WireGuard илүү шууд: хөрш жагсаалтад байснаараа эрх олдог тул агшин зуурын хувилбарын дараа устгасан хөрш энгийнээр дахин байна. Хэн ч тэр хандалтыг дахин зөвшөөрөөгүй. Хуучин файл зөвшөөрсөн.

Серверийн идентит ба клиентийн идентит өөр өөрөөр бүтэлгүйтдэг

WireGuard-д серверийн идентит нь wg0.conf дахь хувийн түлхүүр тул тэр файлыг хоёр дахь хүртээмжтэй хост руу хуулах нь ижил идентиттэй, бие биенээ мэдэхгүй хоёр сервер үүсгэдэг. Тус бүр өөрийн хөршүүдийн жагсаалтыг хадгална. Шинэ хост дээр хөршийг хасвал хуучин нь түүнийг хүлээн авах хэвээр; нэг дээр wg show шалгаад үнэний хагасыг харна. Клиентүүд өөрсдөө шилжихгүй: профайл нэг Endpoint агуулдаг тул төхөөрөмж тохируулсан хаягтайгаа ярисаар байна, энэ нь таны ажлаас гаргахыг хүссэн хост байж болно.

OpenVPN ижил давхаргад серверийн гэрчилгээ, түүний хувийн түлхүүр, tls-auth эсвэл tls-crypt статик түлхүүрээр давхарддаг. Гурвыг хуулбал клиент хувилбаруудыг ялгаж чадахгүй; хоёулаа хүртээмжтэй бол дахин холболт аль нэгэн дээр бууж болно, лог файл бүр хагас түүх өгүүлнэ. Гэрчилгээний байгууллага илүү гүн хуулбар. Сэргээсэн easy-rsa мод нь таны өгсөн дурын нэрэнд хүчинтэй гэрчилгээ олгож чадах хоёр дахь үнэний эх сурвалж.

Клиентүүд ч давхарддаг, ихэвчлэн шилжилтийн үеэр. Профайлыг нөөц төхөөрөмж рүү «зөвхөн турших» гэж хуулах нь ижил түлхүүр, нийтлэг нэртэй хоёр дахь төхөөрөмж үүсгэдэг. duplicate-cn байвал хоёр сесс зэрэг нээлттэй байж болно, ccd эсвэл ifconfig-pool-persist дахь статик хаягийн хуваарилалт анхны төхөөрөмжтэй мөргөлдөж болно. Эдгээр нь нэг идентит өмссөн хоёр машин бөгөөд серверийн тохиргоонд тэднийг юу ч ялгахгүй.

Хуучин төгсгөлийн цэгт гурван төлөвийн аль нэгийг сонго

Сэргээлт нь хуучин төгсгөлийн цэгийн хувь заяа шийдэгдсэний дараа л аюулгүй. Ажлаас гарга: хуучин үйлчилгээ шинэ хост ажиллахаас өмнө VPN портыг хүлээн авахаа зогсоох ёстой, машинд хүрч чадахгүй бол тэр портыг сүлжээний захад таны захиргааны эх сурвалжаас бусад бүхэнд хаа. Мөн хост зас: идентитийг дахин ашиглах нь зөв, учир нь нэг машин түүнийг эзэмшинэ, гэхдээ дараа нь хуучин түлхүүрийн дискний хуулбар эсвэл VM агшин зуурын хувилбарыг устга, тэгвэл буцаж чадахгүй. Хүртээмжийн хос байгуул: хоёр хостод өөр өөр хост идентит, нэг хуваалцсан төгсгөлийн цэг хэрэгтэй, жишээ нь хөвөгч хаяг, ачааллын тэнцвэржүүлэгч эсвэл зөөж болох DNS. Хувийн түлхүүрийг хуулах нь failover загвар биш; энэ нь нэг нэрийг шаардаж буй хоёр сервер юм.

Клиентүүдэд хүрэхийн өмнө яг ямар төлөвт байгаагаа баталгаажуул. VPN порт дээр хариу өгч буй хуучин хост нь DNS шилжсэн ч цуцалсан төхөөрөмжийг хүлээн авах хост юм. Сонсогч, нийтийн түлхүүрийг шалга:

ss -lunp | grep -E ':51820|:1194'
wg show wg0
wg pubkey < /etc/wireguard/server.key

Эхлээд хөрш, цуцлалт, хаягийг тулга

Сэргээлт юуг шаардаж байгааг одоо эрх олгогдсоны эсрэг жагсаа. WireGuard-д wg show wg0 хөрш бүрийн түлхүүр, төгсгөлийн цэг, сүүлийн гар барилт, дамжуулалтын тоолуурыг өгдөг бөгөөд энэ нь таны мэдэлд байхгүй төхөөрөмжийг илрүүлэхэд хангалттай. Түүнийг wg set wg0 peer <key> remove-оор шууд хас, дараа нь тохиргоог ч зас, эс бөгөөс хөрш дараагийн асаалтад буцаж ирнэ. wg show wg0 allowed-ips хоёр дахь асуудлыг илчилнэ: нэг хаяг дээр хоёр хөрш, эсвэл та аль хэдийн дахин хуваарилсан хаяг.

OpenVPN-д цуцлалтын жагсаалт огноотой файл бөгөөд сэргээлт хуучныг буцааж болно. Клиентүүд холбогдохоос өмнө шалга:

openssl crl -in /etc/openvpn/crl.pem -noout -lastupdate -nextupdate
grep -E 'crl-verify|reneg-sec' /etc/openvpn/server.conf

Хэрэв сүүлийн шинэчлэлт цуцлалтаас өмнө бол сервер таны цуцалсан гэрчилгээг хүндэтгэсээр байна. OpenVPN 2.4 ба дараагийн хувилбарууд шинэ холболт бүрт CRL файлыг дахин уншдаг тул файлыг солих нь шинэ сессийг зогсоодог, харин тогтоосон туннелүүд дахин хэлэлцээр хүртэл үргэлжилнэ; reneg-sec-ийн анхдагч нь 3600 секунд бөгөөд түүнийг бууруулах эсвэл үйлчилгээг дахин эхлүүлэх нь танд өөрчлөлтийг одоо өгнө. Хуучин хувилбарууд файлыг тийм найдвартай авч чадахгүй байж магадгүй тул хувилбарын зан төлөвийг баталгаажуулж чадахгүй бол дахин эхлүүл. wg(8) гарын авлага дээр ашигласан хөршийг хасах, allowed-ips синтаксийг хамарна.

Одоо байхгүй төхөөрөмжүүдийн статик хуваарилалтыг ч цэвэрлэ. Хуучин профайл суулгасан хэвээр байхад ажлаас гарсан төхөөрөмжийн хаягийг шинэд дахин ашиглах нь таны зайлсхийхийг хүсч буй давхардлыг яг үүсгэдэг.

Цуцалсан клиентээр шалга

Шалгалтуудыг дарааллаар, туннелээс гадуурх сүлжээнээс гүйцэтгэ. Эхлээд эрх олгогдсон төхөөрөмж холбогдож, түлхэгдсэн шийдвэрлэгчээр DNS-ийг шийдэж, хувийн нөөцөд хүрнэ. Дараа нь цуцалсан төхөөрөмж шинэ биш, өөрийн одоогийн профайлаар бүтэлгүйтэх ёстой. Дараа нь гаднаас хуучин төгсгөлийн цэгийг турш: VPN порт гар барилтыг гүйцээсээр байвал хуучин хост амьд бөгөөд давхардал бодит, онолын биш.

Сэргээсэн хостыг дахин ачаалж, эрх олгогдсон ба цуцалсан шалгалтыг давт, учир нь тэр үед тохиргооны файл ажиллагааны үеэр өөрчилснөөс давамгайлна. Хостын нийтийн түлхүүр эсвэл гэрчилгээний хурууны хээг ажлаас гарсан машины ашигласантай харьцуул. Хоёр амьд машин дээр таарсан хээ нь сэргээлт идентитийг клончилсныг илэрхийлнэ; нэг машин дээр таарсан хээ хэвийн. Сэргээсэн хувилбар, түлхүүрийн хээ, цуцалсан серийн дугаар эсвэл хөршийн түлхүүрийг тэмдэглэж, дараа нь энэ тулгалтын дараах нөөц хуулбарыг ав, тэгвэл үйлчилгээг одоогийн байдлаар нь илэрхийлнэ. Ажиллаж буй шалгалт нь клиент холбогдох нь биш. Харин хасагдсан клиент гадаа үлдэж, хуучин төгсгөлийн цэг хаалттай хэвээр байх нь.