ओळखी न दुप्पट करता VPN सर्व्हर कसा पुनर्संचयित करावा

तुम्ही बॅकअप पुनर्संचयित केला, सेवा सुरू झाली आणि एक क्लायंट पहिल्याच प्रयत्नात जोडला गेला। ते यशच सापळा आहे। पुनर्संचयन स्नॅपशॉटच्या वेळी सर्व्हरकडे असलेल्या फाइली परत देते, त्यानंतर बदललेली प्रवेश स्थिती नाही, आणि जुना एंडपॉइंट अजूनही पोहोचण्यायोग्य असल्यास आता एका ओळखीला उत्तर देणारी दोन यंत्रे आहेत। उपाय चांगला बॅकअप नाही; उपाय म्हणजे पुनर्संचयित होस्ट एका हातमिळवणीलाही उत्तर देण्यापूर्वी काय असू शकतो हे ठरवणे।

बॅकअप फाइली परत देतो, अधिकार नाही

स्नॅपशॉटमध्ये सर्व्हर कॉन्फिगरेशन, खाजगी किल्ल्या, प्रमाणपत्र प्राधिकरण, पीअर यादी आणि फायरवॉल नियम बॅकअप चालू असतानाच्या स्थितीत असतात। त्यानंतर बदललेले त्यात असू शकत नाही: तुम्ही रद्द केलेले उपकरण, पुन्हा जारी केलेली किल्ली, लॅपटॉप विकल्यावर काढलेला पीअर, हलवलेले सबनेट। पुनर्संचयन फाइली त्या क्षणी परत नेते। लोकांनी त्यानंतर घेतलेले निर्णय ते परत नेते नाही।

हानी नेमकी याच अंतरातून येते। बॅकअपनंतर दोन आठवड्यांनी रद्द केलेला चोरलेला लॅपटॉप पुनर्संचयित झाडातील जुन्या CRL विरुद्ध अजूनही सत्यापित होणारे प्रमाणपत्र सादर करतो, आणि सर्व्हर तुम्ही निवृत्त केलेले उपकरण स्वीकारतो। WireGuard अधिक सरळ आहे: पीअर यादीत असल्यामुळेच अधिकृत होतो, त्यामुळे स्नॅपशॉटनंतर हटवलेला पीअर पुन्हा अगदी तसाच असतो। कोणीही तो प्रवेश पुन्हा मंजूर केला नाही। जुनी फाइल केली।

सर्व्हरची ओळख आणि क्लायंटची ओळख वेगळ्या प्रकारे अयशस्वी होतात

WireGuard मध्ये सर्व्हरची ओळख wg0.conf मधील खाजगी किल्ली आहे, त्यामुळे ती फाइल दुसऱ्या पोहोचण्यायोग्य होस्टवर कॉपी केल्यास एकाच ओळखीचे आणि एकमेकांना न माहीत असलेले दोन सर्व्हर तयार होतात। प्रत्येकजण आपलीच पीअर यादी ठेवतो। नव्या होस्टवर पीअर काढा आणि जुना तो अजूनही स्वीकारतो; एकावर wg show तपासा आणि अर्धे सत्य दिसेल। क्लायंटही स्वतः बदलत नाहीत: प्रोफाइल एक Endpoint घेऊन जाते, त्यामुळे उपकरण ज्या पत्त्यासाठी संरचित होते त्याच्याशीच बोलत राहते, जो तुम्ही निवृत्त करू इच्छित असलेला होस्ट असू शकतो।

OpenVPN त्याच थरावर सर्व्हर प्रमाणपत्र, त्याची खाजगी किल्ली आणि tls-auth किंवा tls-crypt स्थिर किल्लीने दुप्पट होते। तिन्ही कॉपी करा आणि क्लायंट उदाहरणे वेगळी करू शकत नाही; दोन्ही पोहोचण्यायोग्य असल्यास पुनःकनेक्शन कोणत्याही एकावर पडू शकते, आणि प्रत्येक लॉग फाइल अर्धी कथा सांगते। प्रमाणपत्र प्राधिकरण ही अधिक खोल प्रत आहे। पुनर्संचयित easy-rsa वृक्ष हा सत्याचा दुसरा स्रोत आहे जो तुम्ही दिलेल्या कोणत्याही नावासाठी वैध प्रमाणपत्र जारी करू शकतो।

क्लायंटही दुप्पट होतात, सहसा स्थलांतराच्या वेळीच। प्रोफाइल «फक्त तपासण्यासाठी» अतिरिक्त उपकरणावर कॉपी केल्यास त्याच किल्ली आणि सामान्य नावाचे दुसरे उपकरण तयार होते। duplicate-cn असल्यास दोन्ही सत्रे एकाच वेळी सुरू राहू शकतात, आणि ccd किंवा ifconfig-pool-persist मधील स्थिर पत्ता नेमणूक मूळ उपकरणाशी टकरी करू शकते। ही एक ओळख परिधान केलेली दोन यंत्रे आहेत, आणि सर्व्हर कॉन्फिगरेशनमध्ये काहीही त्यांना वेगळे करत नाही।

जुन्या एंडपॉइंटसाठी तीनपैकी एक स्थिती निवडा

जुन्या एंडपॉइंटचे भवितव्य ठरल्याशिवाय पुनर्संचयन सुरक्षित नाही। निवृत्त करा: नवीन होस्ट सुरू होण्यापूर्वी जुन्या सेवेने VPN पोर्ट स्वीकारणे थांबवले पाहिजे, आणि तुम्ही यंत्रापर्यंत पोहोचू शकत नसल्यास तो पोर्ट नेटवर्कच्या काठावर तुमच्या प्रशासकीय स्रोताशिवाय सर्वांसाठी अडवा। तोच होस्ट दुरुस्त करा: ओळख पुन्हा वापरणे ठीक आहे कारण एकच यंत्र ती धारण करते, पण नंतर जुन्या किल्लीची डिस्क प्रत किंवा VM स्नॅपशॉट नष्ट करा म्हणजे ती परत येणार नाही। उपलब्धता जोडी बनवा: दोन होस्टना वेगवेगळ्या होस्ट ओळखी आणि एक सामायिक एंडपॉइंट लागतो, जसे तरंगणारा पत्ता, लोड बॅलन्सर किंवा हलवता येणारा DNS। खाजगी किल्ली कॉपी करणे हे failover रचना नाही; हे एका नावाचा दावा करणारे दोन सर्व्हर आहेत।

क्लायंटना स्पर्श करण्यापूर्वी तुम्ही खरोखर कोणत्या स्थितीत आहात ते निश्चित करा। VPN पोर्टवर उत्तर देणारा जुना होस्टच रद्द केलेले उपकरण स्वीकारेल, DNS हलले असले तरी। श्रोते आणि सार्वजनिक किल्ली तपासा:

ss -lunp | grep -E ':51820|:1194'
wg show wg0
wg pubkey < /etc/wireguard/server.key

आधी पीअर, रद्दीकरणे आणि पत्ते जुळवा

पुनर्संचयन काय दावा करते ते सध्या अधिकृत असलेल्याशी तुलना करून यादी करा। WireGuard मध्ये wg show wg0 प्रत्येक पीअरची किल्ली, एंडपॉइंट, अलीकडील हातमिळवणी आणि हस्तांतरण मोजणी देते, जे तुमच्याकडे नसलेले उपकरण ओळखण्यासाठी पुरते। wg set wg0 peer <key> remove ने ते थेट काढा, नंतर कॉन्फिगरेशनही संपादित करा, अन्यथा पीअर पुढील सुरुवातीला परत येईल। wg show wg0 allowed-ips दुसरी समस्या उघड करते: एका पत्त्यावर दोन पीअर, किंवा तुम्ही आधीच पुनर्नियुक्त केलेला पत्ता।

OpenVPN मध्ये रद्दीकरण यादी तारखेसह फाइल आहे, आणि पुनर्संचयन जुनी परत आणू शकते। क्लायंट जोडण्यापूर्वी ती तपासा:

openssl crl -in /etc/openvpn/crl.pem -noout -lastupdate -nextupdate
grep -E 'crl-verify|reneg-sec' /etc/openvpn/server.conf

शेवटचे अद्यतन रद्दीकरणापूर्वीचे असल्यास सर्व्हर अजूनही तुम्ही रद्द केलेल्या प्रमाणपत्राचा आदर करत आहे। OpenVPN 2.4 आणि नंतरचे प्रत्येक नव्या कनेक्शनासाठी CRL फाइल पुन्हा वाचतात, त्यामुळे फाइल बदलल्यास नवीन सत्रे थांबतात, पण प्रस्थापित बोगदे पुनर्वाटाघाटीपर्यंत टिकतात; reneg-sec चे डीफॉल्ट 3600 सेकंद आहे, आणि ते कमी करणे किंवा सेवा पुन्हा सुरू करणे हेच तुम्हाला बदल आता देते। जुन्या बिल्ड फाइल तितक्या विश्वासार्हतेने घेत नाहीत, म्हणून आवृत्तीचे वर्तन निश्चित करू न शकल्यास पुन्हा सुरू करा। wg(8) पुस्तिका वर वापरलेले पीअर काढणे आणि allowed-ips वाक्यरचना समाविष्ट करते।

आता नसलेल्या उपकरणांच्या स्थिर नेमणुका देखील साफ करा। जुने प्रोफाइल स्थापित असताना निवृत्त उपकरणाचा पत्ता नव्यासाठी पुन्हा वापरणे हे तुम्ही टाळू पाहत असलेली पुनरावृत्तीच तयार करते।

तुम्ही रद्द केलेल्या क्लायंटसह सत्यापित करा

बोगद्याबाहेरील नेटवर्कवरून क्रमाने तपासण्या चालवा। आधी अधिकृत उपकरण जोडते, ढकललेल्या रिझोल्व्हरमार्फत DNS सोडवते आणि खाजगी संसाधनापर्यंत पोहोचते। नंतर रद्द केलेल्या उपकरणाने नवीन नाही तर त्याच्या सध्याच्या प्रोफाइलने अयशस्वी व्हावे। नंतर बाहेरून जुना एंडपॉइंट वापरून पहा: VPN पोर्ट अजूनही हातमिळवणी पूर्ण करत असल्यास जुना होस्ट जिवंत आहे आणि दुप्पट होणे खरे आहे, सैद्धांतिक नाही।

पुनर्संचयित होस्ट रीबूट करा आणि अधिकृत व रद्द केलेल्या तपासण्या पुन्हा करा, कारण तेव्हाच कॉन्फिगरेशन फाइल रनटाइममध्ये तुम्ही बदललेल्यावर मात करते। होस्टची सार्वजनिक किल्ली किंवा प्रमाणपत्राचा बोटांचा ठसा निवृत्त यंत्राने वापरलेल्याशी तुलना करा। दोन जिवंत यंत्रांवर जुळणारे ठसे म्हणजे पुनर्संचयनाने ओळख क्लोन केली; एका यंत्रावर जुळणारे ठसे सामान्य आहेत। पुनर्संचयित आवृत्त्या, किल्ल्यांचे ठसे आणि रद्द केलेला क्रमांक किंवा पीअर किल्ली नोंदवा, नंतर या जुळवणीनंतर पुढील बॅकअप घ्या, जेणेकरून तो सेवेचे आता आहे तसे प्रतिनिधित्व करेल। कार्यरत चाचणी क्लायंट जोडणे नाही। ती म्हणजे तुम्ही काढलेला क्लायंट बाहेर राहतो आणि जुना एंडपॉइंट बंद राहतो।