Kif tirrestawra server VPN mingħajr ma tidduplika identitajiet

Irrestawrajt il-backup, is-servizz beda, u klijent qabbad fl-ewwel prova. Dak is-suċċess huwa n-nassa. Restawr iġib lura l-fajls li s-server kellu fil-mument tas-snapshot, mhux l-istat tal-aċċess li nbidel minn dakinhar, u jekk l-endpoint antik għadu aċċessibbli issa għandek żewġ magni li jwieġbu għal identità waħda. Is-soluzzjoni mhix backup aħjar; hi li tiddeċiedi x'jista' jkun l-host restawrat qabel ma jwieġeb għal handshake wieħed.

Backup iġib lura fajls, mhux awtorità

Is-snapshot fih il-konfigurazzjoni tas-server, iċ-ċwievet privati, l-awtorità taċ-ċertifikati, il-lista tal-pari u r-regoli tal-firewall kif kienu meta nbeda l-backup. Ma jistax fih dak li nbidel warajh: l-apparat li rrevokajt, iċ-ċavetta li erġajt ħriġt, il-pari li neħħejt meta nbiegħ laptop, is-subnet li ċċaqlaqt. Restawr iwarrab il-fajls lejn dak il-mument. Ma jwarrabx id-deċiżjonijiet li n-nies ħadu minn dakinhar.

Il-ħsara ġejja proprju minn din il-vojt. Laptop misruq li ġie revokat ġimagħtejn wara l-backup jippreżenta ċertifikat li għadu jiġi vvalidat kontra s-CRL eqdem fis-siġra restawrata, u s-server jaċċetta apparat li rtirajt. WireGuard huwa aktar dirett: pari huwa awtorizzat billi jkun imniżżel, għalhekk pari mħassar wara s-snapshot sempliċement jerġa' jkun hemm. Ħadd ma reġa' approva dak l-aċċess. Il-fajl antik għamlu.

L-identità tas-server u l-identità tal-klijent ifallu b'modi differenti

Fuq WireGuard l-identità tas-server hija ċ-ċavetta privata f'wg0.conf, għalhekk l-ikkupjar ta' dak il-fajl fuq it-tieni host aċċessibbli joħloq żewġ servers bl-istess identità u mingħajr ma jafu bi xulxin. Kull wieħed iżomm il-lista tal-pari tiegħu. Neħħi pari fuq il-host il-ġdid u dak antik għadu jaċċettah; iċċekkja wg show fuq wieħed u tara nofs il-verità. Il-klijenti lanqas ma jaqilbu waħedhom: profil iġorr Endpoint wieħed, għalhekk apparat ikompli jitkellem mal-indirizz li bih ġie kkonfigurat, li jista' jkun il-host li ridt irtira.

OpenVPN jidduplika fl-istess saff b'ċertifikat tas-server, iċ-ċavetta privata tiegħu u ċ-ċavetta statika tls-auth jew tls-crypt. Ikkopja t-tlieta u klijent ma jistax jiddistingwi l-istanzi; jekk it-tnejn huma aċċessibbli, qabda mill-ġdid tista' tinżel fuq waħda minnhom, u kull fajl tal-log jirrakkonta storja parzjali. L-awtorità taċ-ċertifikati hija l-kopja aktar fil-fond. Siġra easy-rsa restawrata hija t-tieni sors tal-verità li tista' toħroġ ċertifikat validu għal kwalunkwe isem li tagħtiha.

Il-klijenti wkoll jiġu duplikati, ġeneralment waqt il-migrazzjoni stess. L-ikkupjar ta' profil fuq apparat tar-riżerva «biss biex tittestja» jipproduċi t-tieni apparat bl-istess ċavetta u l-istess isem komuni. B'duplicate-cn iż-żewġ sessjonijiet jistgħu jibqgħu għaddejjin fl-istess ħin, u assenjazzjoni statika tal-indirizz f'ccd jew f'ifconfig-pool-persist tista' taħbat mal-apparat oriġinali. Dawn huma żewġ magni liebsa identità waħda, u xejn fil-konfigurazzjoni tas-server ma jiddistingwihom.

Agħżel wieħed minn tliet stati għall-endpoint antik

Restawr huwa sigur biss meta d-destin tal-endpoint antik ikun deċiż. Irtirah: is-servizz antik irid jieqaf jaċċetta l-port VPN qabel ma jibda l-host il-ġdid, u jekk ma tistax tilħaq il-magna, imblokka dak il-port fit-tarf tan-netwerk għal kollox ħlief is-sors amministrattiv tiegħek. Sejjaħ l-istess host: l-użu mill-ġdid tal-identità huwa tajjeb għax magna waħda żżommha, imma wara qered il-kopja fuq id-diska jew is-snapshot tal-VM taċ-ċavetta antika biex ma tkunx tista' terġa' lura. Ibni par ta' disponibbiltà: żewġ hosts jeħtieġu identitajiet ta' host distinti flimkien ma' endpoint wieħed maqsum, bħal indirizz għal waħdu, bilanċjatur tat-tagħbija jew DNS li tista' ċċaqlaq. L-ikkupjar taċ-ċavetta privata mhuwiex disinn ta' failover; huma żewġ servers li jitolbu isem wieħed.

Ikkonferma f'liema stat int verament qabel ma tmiss klijenti. Il-host antik li jwieġeb fuq il-port VPN huwa dak li se jaċċetta l-apparat revokat, anki jekk id-DNS ċċaqlaq. Iċċekkja s-semmiegħa u ċ-ċavetta pubblika:

ss -lunp | grep -E ':51820|:1194'
wg show wg0
wg pubkey < /etc/wireguard/server.key

L-ewwel irrikonċilja pari, revoki u indirizzi

Elenka x'qed jallega r-restawr meta mqabbel ma' dak li huwa awtorizzat bħalissa. Fuq WireGuard wg show wg0 jagħti ċ-ċavetta, l-endpoint, l-aħħar handshake u l-kontaturi tat-trasferiment ta' kull pari, biżżejjed biex tintebaħ apparat li m'għandekx iżjed. Neħħih ħaj b'wg set wg0 peer <key> remove, imbagħad editja wkoll il-konfigurazzjoni, inkella l-pari jerġa' lura fil-bidu li jmiss. wg show wg0 allowed-ips jikxef it-tieni problema: żewġ pari fuq indirizz wieħed, jew indirizz li diġà erġajt assenjajt.

Fuq OpenVPN il-lista tar-revoki hija fajl b'data, u restawr jista' jġib lura waħda antika. Iċċekkjaha qabel ma jqabbdu l-klijenti:

openssl crl -in /etc/openvpn/crl.pem -noout -lastupdate -nextupdate
grep -E 'crl-verify|reneg-sec' /etc/openvpn/server.conf

Jekk l-aħħar aġġornament jippreċedi r-revoka, is-server għadu jonora ċertifikat li rrevokajt. OpenVPN 2.4 u aktar tard jerġgħu jaqraw il-fajl CRL għal kull konnessjoni ġdida, għalhekk is-sostituzzjoni tal-fajl twaqqaf sessjonijiet ġodda, imma l-mini li huma stabbiliti jibqgħu sa negozjazzjoni mill-ġdid; id-default ta' reneg-sec huwa 3600 sekonda, u t-tnaqqis tiegħu jew ir-restart tas-servizz huwa dak li jagħtik il-bidla issa. Bini eqdem jista' ma jaqbadx il-fajl bl-istess affidabilità, għalhekk erġa' ibda meta ma tistax tikkonferma l-imġiba tal-verżjoni. Il-manwal wg(8) ikopri t-tneħħija tal-pari u s-sintassi allowed-ips użati hawn fuq.

Naddaf ukoll l-assenjazzjonijiet statiiċi għal apparati li m'għadhomx jeżistu. L-użu mill-ġdid tal-indirizz ta' apparat irtirat għal wieħed ġdid waqt li l-profil antik għadu installat joħloq proprju d-duplikat li qed tipprova tevita.

Ivverifika b'klijent li rrevokajt

Mexxi l-kontrolli fl-ordni, minn netwerk barra l-mina. L-ewwel apparat awtorizzat iqabbad, isolvi d-DNS permezz tas-solver imbuttat u jilħaq riżorsa privata. Imbagħad l-apparat revokat irid jfalli, billi juża l-profil eżistenti tiegħu mhux wieħed ġdid. Imbagħad ipprova l-endpoint antik minn barra: jekk il-port VPN għadu jtemm handshake, il-host antik huwa ħaj u d-duplikazzjoni hija reali, mhux teoretika.

Erġa' ibda l-host restawrat u rrepeti l-kontrolli awtorizzat u revokat, għax dakinhar il-fajl tal-konfigurazzjoni jirbaħ fuq dak li bdilt waqt il-qadi. Qabbel iċ-ċavetta pubblika jew il-marka tas-swaba' taċ-ċertifikat tal-host ma' dik li użat il-magna rtirata. Marki tas-swaba' li jaqblu fuq żewġ magni ħajjin ifissru li r-restawr ikkolona l-identità; marki tas-swaba' li jaqblu fuq magna waħda huma tajbin. Irrekordja l-verżjonijiet restawrati, il-marki tas-swaba' taċ-ċwievet u n-numru tas-serje jew iċ-ċavetta tal-pari revokati, imbagħad ħu l-backup li jmiss wara din ir-rikonċiljazzjoni, biex jirrappreżenta s-servizz kif inhu issa. It-test li jaħdem mhuwiex li klijent iqabbad. Huwa li l-klijent li neħħejt jibqa' barra waqt li l-endpoint antik jibqa' magħluq.