Kif tirtira server VPN mingħajr ma tħalli aċċess warajh

Imxi 'l barra mill-app tal-klijent: irrevoka ċ-ċwievet u l-kontijiet, agħlaq is-semmiegħa, imbagħad uriet li l-ebda profil, rekord DNS jew backup ma jista' jilħaqha.

Il-klijent tiegħek għadu jgħaqqad fil-jum li fih jinfetaħ it-ticket tal-irtirar. Profil joqgħod fl-app, jinnegozja, u t-tunnel jitla' bħallikieku xejn ma nbidel. Dan huwa l-mument li taħdem fid-direzzjoni opposta għal kif bnajt is-servizz: ibda mil-lista tal-klijenti, imxi 'l barra sal-semmiegħa, imbagħad sal-firewall, u spiċċa bil-kredenzjali li jgħixu aktar minnhom kollha. Li titfi l-VM huwa l-aħħar pass, mhux l-ewwel. Dan il-gwida jassumi li għandek aċċess għall-console tal-host u l-awtorità li teditja r-rekords tal-klijenti u d-DNS.

L-ewwel għaddi mil-lista tal-klijenti

Iftaħ dak kollu li jqassam il-profilijiet tiegħek u aqra l-lista qabel ma tmiss is-server. Kull entrata hija apparat li jemmen li għandu aċċess: telefowns, laptops, router tal-fergħa, container li jissinkronizza kull lejl. Esporta dik il-lista fit-ticket, għax ladarba l-host jgħib m'hemmx wg show li jgħidlek min kien konness.

Ikklassifika kull apparat bħala punt tat-tmiem sostitut, m'għadux meħtieġ jew mhux magħruf. Il-basket mhux magħruf huwa dak li jgħodd, għax dawk huma l-profilijiet li xi ħadd isib f'kexxun wara xhur u jipprova. Ibgħat l-avviż fuq l-istess kanal li tuża għat-talbiet ta' aċċess, u poġġi fih data għal meta l-punt tat-tmiem antik jieqaf iwieġeb.

Irrevoka l-identità, mhux biss il-fajl

Żewġ azzjonijiet differenti t-tnejn jissejħu revoka. Fuq WireGuard, peer huwa awtorizzat biss mill-muftieħ pubbliku tiegħu li jidher f'sezzjoni peer b'entrata AllowedIPs, għalhekk li tħassar il-fajl tal-konfigurazzjoni mil-laptop ma jbiddel xejn fuq is-server. Neħħi l-blokk tal-peer u erġa' applika l-fajl mingħajr ma tħalli l-peers li qed iżżomm, kif jiddeskrivi l-manwal ta' wg(8):

wg show
wg set wg0 peer <CLIENT_PUBLIC_KEY> remove
wg syncconf wg0 <(wg-quick strip wg0)

wg syncconf huwa l-parti li tiffrankalek tieqa tal-manutenzjoni. Jibni mill-ġdid l-interface mill-fajl fil-post, għalhekk it-tneħħija ta' peer wieħed ma tġarrafx it-tunnel li kulħadd juża. Jekk qed tirtira l-host kollu minflok peer wieħed, l-ordni xorta tgħodd, għax dawk iċ-ċwievet jistgħu jkunu fdati x'imkien ieħor.

B'setup X.509 il-pass tar-revoka huwa ċ-ċertifikat, mhux il-fajl: openssl ca -revoke client.crt u mbagħad openssl ca -gencrl -out crl.pem. Dan għandu effett biss fejn il-verifikatur jaqrah, li jfisser li OpenVPN server b'crl-verify ikkonfigurat u mbagħad rilokat. Jekk dan il-gateway huwa l-uniku konsumatur ta' dik is-CA, is-CRL jieqaf ikun importanti fil-jum li fih tmut; jekk l-istess CA tiffirma għal gateway ieħor, ċertifikat li qatt ma rrevokajt jibqa' jaħdem hemmhekk.

Il-kontijiet huma t-tielet każ u l-aktar wieħed li jinqabeż. Meta l-gateway awtentika kontra RADIUS, LDAP jew fornitur tal-identità ospitat, il-kont jgħix barra mill-VPN. Iddiżattivah fid-directory. Li tħassar stanza tal-utent fuq is-server iħalli kredenzjali valida li l-punt tat-tmiem sostitut se jaċċetta fil-mument li jindika lejn l-istess directory.

Agħlaq is-semmiegħa u t-toroq lejhom

Waqqaf is-servizz b'mod li jiflaħ restart, imbagħad ikkonferma b'lista ta' sockets u mhux bl-istat tal-unit. systemctl disable --now wg-quick@wg0 iwaqqaf l-interface u jneħħi r-rotot u r-regoli li żied wg-quick; systemctl disable --now openvpn-server@server jagħmel l-istess għal istanza OpenVPN b'template. Segwi t-tnejn b'ss -lunp u ss -ltnp. Riżultat vojt għall-port antik huwa l-unika prova li tgħodd.

Dak li żied wg-quick, wg-quick jneħħih. Dak li żidt bl-idejn jibqa': regola NAT persistenti, permess tal-firewall, port-forwarding tar-router, regola ta' ingress ta' grupp tas-sigurtà tal-cloud, semmiegħa tal-load balancer. Dawn jeħtieġu tneħħija espliċita, u hekk ukoll ir-rekord DNS, jiġifieri l-A, l-AAAA u kwalunkwe CNAME li jindika lejn l-isem. Isem li jiġi riżolt għal host mejjet ifalli b'mod differenti minn isem li ma jiġix riżolt, u dak id-differenza se tiswa lil xi ħadd wara nofsinhar.

Il-kopja li tinsa hija l-klonu. Snapshot jew VM restawrat minn backup xorta jżomm iċ-ċwievet tal-host u l-lista antika tal-peers, u jekk xi ħaġa terġa' ġġibu fl-istess indirizz, il-klijenti jerġgħu jgħaqqdu ma' servizz li taħseb li huwa rtirat. Ittikketti s-sett tal-backup bħala li jappartjeni għal servizz mitfi u żommu barra mill-mogħdijiet tar-restawr awtomatiku.

Iġri wara dak li għadu jindika lejn il-punt tat-tmiem antik

Il-profilijiet fil-cache jgħixu aktar mid-DNS. Konfigurazzjoni salvata b'indirizz numeriku tkompli ddial wara li jgħib ir-rekord, u klijent dejjem mixgħul jerġa' jipprova f'kull bidla tan-netwerk. Dan huwa storbju u mhux aċċess, għax is-semmiegħa hija magħluqa, imma li tkun taf liema miż-żewġ tidher qed tħares lejha jiddeċiedi kif twieġeb it-ticket.

Imbagħad iknes id-dipendenzi li ħadd ma jarkivja taħt VPN: verifiki tal-uptime li jmellsu l-port, xogħlijiet ta' backup li ġibdu konfigurazzjonijiet mill-host, kredenzjali tal-awtomazzjoni użati biex jimbuttaw entrati tal-peers, kontijiet tar-rikoveru maħluqa biss għal dan il-punt tat-tmiem. Kull waħda hija mogħdija ta' aċċess bil-ħajja tagħha u bis-sid tagħha, għalhekk kull waħda tieħu deċiżjoni minflok tħassir sieket.

Ivverifika, imbagħad ikteb

L-irtirar ikun lest meta test minn barra jonqos kif tistenna. Minn netwerk li ma tikkontrollax, qabbad mal-indirizz u l-port antiki. Riżultat iffiltrat jew miċħud huwa l-każ ta' suċċess. Fl-app tal-klijent, ikkonferma li l-profil tneħħa u mhux biss intefa, u li l-ebda profil tal-ġestjoni ma jerġa' jżidu bil-kwiet.

Imbagħad irreġistra dak li għamilt: punt tat-tmiem, data, ċwievet u ċertifikati revokati, kontijiet iddiżattivati, fejn jgħixu l-backups. Min isib konfigurazzjoni antika wara għandu jwieġeb jekk ġietx revokata jew sempliċement imħassra, mingħajr ma jaqta', u tabella qasira fit-ticket tagħmel dan.

Qabel ma tagħlaq it-ticket:

  • profili tal-klijenti mneħħija jew mibdula, apparati mhux magħrufa solvuti
  • peers mneħħija u l-konfigurazzjoni re-applikata, jew ċertifikati revokati u s-CRL ippubblikata
  • kontijiet tad-directory iddiżattivati, mhux biss fajls lokali mħassra
  • servizz iddiżattivat, l-ebda semmiegħa ma baqa' fil-port antik
  • firewall, port forwarding, grupp tas-sigurtà u entrati DNS mneħħija
  • backups ittikkettati, snapshot eskluż mill-mogħdijiet tar-restawr
  • kredenzjali tal-monitoraġġ u tal-awtomazzjoni rtirati

Ivverifika s-sostitut separatament, minn klijent li qatt ma kellu l-profil antik. Dak it-test wieħed jgħidlek jekk irtirajtx servizz jew biss bdilt isem il-problema.

Artikli relatati