पहुँच पछाडि नछाडी VPN सर्भर कसरी अवकाश दिने

अवकाश टिकट खुल्ने दिन पनि तपाईंको क्लाइन्ट जोडिन्छ। एपमा एउटा प्रोफाइल बस्छ, त्यो वार्ता गर्छ, र केही नबदलेको जस्तै सुरुङ माथि आउँछ। सेवा कसरी बनाउनुभयो त्यसको विपरीत दिशामा काम गर्ने यही क्षण हो: क्लाइन्ट सूचीबाट सुरु गर्नुहोस्, बाहिर श्रोतातिर जानुहोस्, त्यसपछि फायरवालतिर, र ती सबैभन्दा लामो बाँच्ने प्रमाणहरूमा अन्त्य गर्नुहोस्। VM बन्द गर्नु पहिलो होइन, अन्तिम कदम हो। यो मार्गदर्शनले तपाईंसँग होस्टमा कन्सोल पहुँच र क्लाइन्ट रेकर्ड तथा DNS सम्पादन गर्ने अधिकार छ भनी मान्छ।

पहिले क्लाइन्ट सूचीबाट जानुहोस्

तपाईंका प्रोफाइल वितरण गर्ने जे पनि हो खोल्नुहोस् र सर्भर छुनुअघि सूची पढ्नुहोस्। प्रत्येक प्रविष्टि पहुँच छ भनी विश्वास गर्ने यन्त्र हो: फोन, ल्यापटप, शाखा राउटर, हरेक रात सिङ्क हुने कन्टेनर। त्यो सूची टिकटमा निर्यात गर्नुहोस्, किनकि होस्ट गएपछि को जोडिएको थियो भन्ने wg show रहने छैन।

प्रत्येक यन्त्रलाई प्रतिस्थापन अन्त्य बिन्दु, अब आवश्यक छैन, वा अज्ञातमा वर्गीकृत गर्नुहोस्। अज्ञातको टोकरी नै महत्त्वपूर्ण हुन्छ, किनकि महिनौंपछि कसैले दराजमा भेट्टाएर प्रयास गर्ने प्रोफाइल तिनै हुन्। पहुँच अनुरोधका लागि प्रयोग गर्ने त्यही च्यानलमा सूचना पठाउनुहोस्, र पुरानो अन्त्य बिन्दु कहिले जवाफ दिन छोड्नेछ त्यो मिति त्यसमा राख्नुहोस्।

पहिचान रद्द गर्नुहोस्, फाइल मात्र होइन

दुई फरक क्रियालाई दुवैलाई रद्द भनिन्छ। WireGuard मा, पीयर आफ्नो सार्वजनिक कुञ्जीले मात्र अधिकृत हुन्छ, जो AllowedIPs प्रविष्टिसहित पीयर खण्डमा देखिन्छ, त्यसैले ल्यापटपबाट कन्फिग फाइल हटाउँदा सर्भरमा केही बदलिँदैन। राखिएका पीयरहरू नखसाली पीयर ब्लक हटाएर फाइल फेरि लागू गर्नुहोस्, जसरी wg(8) म्यानुअल वर्णन गर्छ:

wg show
wg set wg0 peer <CLIENT_PUBLIC_KEY> remove
wg syncconf wg0 <(wg-quick strip wg0)

wg syncconf मर्मत विन्डो बचत गर्ने भाग हो। यसले फाइलबाट इन्टरफेस त्यहीँ पुनर्निर्माण गर्छ, त्यसैले एउटा पीयर हटाउँदा बाँकी सबै प्रयोग गर्ने सुरुङ भाँचिँदैन। एउटा पीयरको सट्टा सम्पूर्ण होस्ट अवकाश दिँदै हुनुहुन्छ भने पनि क्रम महत्त्वपूर्ण छ, किनकि ती कुञ्जीहरूलाई अन्यत्र विश्वास गरिन सक्छ।

X.509 सेटअपमा रद्द गर्ने कदम फाइल होइन, प्रमाणपत्र हो: openssl ca -revoke client.crt र त्यसपछि openssl ca -gencrl -out crl.pem। यसको प्रभाव त्यहीँ मात्र हुन्छ जहाँ प्रमाणितकर्ताले यो पढ्छ, अर्थात् OpenVPN सर्भर जसमा crl-verify कन्फिगर गरिएको छ र पछि पुनः लोड गरिएको छ। यो गेटवे त्यो CA को एकमात्र उपभोक्ता हो भने, त्यो मर्ने दिन CRL को महत्त्व सकिन्छ; त्यही CA दोस्रो गेटवेका लागि हस्ताक्षर गर्छ भने, तपाईंले कहिल्यै रद्द नगरेको प्रमाणपत्र त्यहाँ काम गरिरहन्छ।

खाताहरू तेस्रो अवस्था र सबैभन्दा धेरै छुट्ने अवस्था हुन्। जब गेटवेले RADIUS, LDAP वा होस्टेड पहिचान प्रदायकविरुद्ध प्रमाणीकरण गर्थ्यो, खाता VPN बाहिर बस्छ। यसलाई डाइरेक्टरीमा अक्षम गर्नुहोस्। सर्भरमा प्रयोगकर्ता स्टान्जा हटाउँदा वैध प्रमाण बाँकी रहन्छ, जसलाई प्रतिस्थापन अन्त्य बिन्दुले त्यही डाइरेक्टरीतिर देखाउने क्षणमा स्वीकार गर्नेछ।

श्रोता र तिनीहरूसम्मका बाटो बन्द गर्नुहोस्

सेवा पुनः सुरु हुँदा टिक्ने तरिकाले रोक्नुहोस्, त्यसपछि युनिट स्थितिको सट्टा सकेट सूचीले पुष्टि गर्नुहोस्। systemctl disable --now wg-quick@wg0 इन्टरफेस रोक्छ र wg-quick ले थपेका मार्ग तथा नियम हटाउँछ; systemctl disable --now openvpn-server@server टेम्प्लेट OpenVPN इन्स्टेन्सका लागि त्यही गर्छ। दुवैमध्ये कुनैपछि ss -lunp र ss -ltnp चलाउनुहोस्। पुरानो पोर्टका लागि खाली नतिजा नै गणना हुने एकमात्र प्रमाण हो।

wg-quick ले थपेको wg-quick ले हटाउँछ। तपाईंले हातले थपेको रहन्छ: स्थायी NAT नियम, फायरवाल अनुमति, राउटर पोर्ट फर्वार्ड, क्लाउड सुरक्षा समूहको इनग्रेस नियम, लोड ब्यालेन्सर श्रोता। यी स्पष्ट रूपमा हटाउनुपर्छ, र DNS रेकर्ड पनि, अर्थात् A, AAAA र नामतिर देखाउने कुनै पनि CNAME। मृत होस्टमा रिजोल हुने नाम नरिजोल हुने नामभन्दा फरक तरिकाले असफल हुन्छ, र त्यो फरकले कसैलाई एक दिउँसो खर्च गराउनेछ।

तपाईंले बिर्सने प्रतिलिपि नै क्लोन हो। ब्याकअपबाट पुनर्स्थापित स्न्यापसट वा VM अझै होस्ट कुञ्जी र पुरानो पीयर सूची राख्छ, र यदि केहीले यसलाई त्यही ठेगानामा फर्काइदियो भने, क्लाइन्टहरू अवकाश भएको ठानिएको सेवामा फेरि जोडिन्छन्। ब्याकअप सेटलाई अवकाश भएको सेवाको भनी लेबल गर्नुहोस् र स्वचालित पुनर्स्थापना मार्गबाट बाहिर राख्नुहोस्।

पुरानो अन्त्य बिन्दुतिर अझै देखाउनेको पछि लाग्नुहोस्

क्यास गरिएका प्रोफाइल DNS भन्दा लामो बाँच्छन्। संख्यात्मक ठेगानासहितको सुरक्षित कन्फिग रेकर्ड गएपछि पनि डायल गरिरहन्छ, र सधैं खुला क्लाइन्ट हरेक नेटवर्क परिवर्तनमा फेरि प्रयास गर्छ। त्यो पहुँच होइन, हल्ला हो, किनकि श्रोता बन्द छ, तर तपाईं दुईमध्ये कुनलाई हेरिरहनुभएको छ भन्ने थाहाले टिकटको जवाफ कसरी दिने भन्ने निर्धारण गर्छ।

त्यसपछि कसैले पनि VPN मुनि संग्रह नगर्ने निर्भरताहरू सफा गर्नुहोस्: पोर्ट छाम्ने अपटाइम जाँच, होस्टबाट कन्फिग तान्ने ब्याकअप काम, पीयर प्रविष्टि धकेल्न प्रयोग गरिएका अटोमेसन प्रमाण, यही अन्त्य बिन्दुका लागि मात्र बनाइएका रिकभरी खाता। प्रत्येकको आफ्नै आयु र आफ्नै मालिक भएको पहुँच मार्ग हो, त्यसैले प्रत्येकले चुपचाप हटाउने सट्टा निर्णय पाउँछ।

प्रमाणित गर्नुहोस्, त्यसपछि लेख्नुहोस्

बाहिरबाट गरिएको परीक्षण अपेक्षा गरेअनुसार असफल भएपछि अवकाश पूरा हुन्छ। तपाईंले नियन्त्रण नगर्ने नेटवर्कबाट पुरानो ठेगाना र पोर्टमा जोडिनुहोस्। फिल्टर वा अस्वीकृत नतिजा नै सफलताको अवस्था हो। क्लाइन्ट एपमा प्रोफाइल बन्द नगरी हटाइएको र कुनै व्यवस्थापन प्रोफाइलले चुपचाप फेरि नथप्ने पुष्टि गर्नुहोस्।

त्यसपछि तपाईंले के गर्नुभयो लेख्नुहोस्: अन्त्य बिन्दु, मिति, रद्द गरिएका कुञ्जी र प्रमाणपत्र, अक्षम गरिएका खाता, ब्याकअप कहाँ छन्। अब कसैले पुरानो कन्फिग भेट्टाए अनुमान नगरी त्यो रद्द भएको थियो वा मात्र हटाइएको थियो भनी जवाफ दिनुपर्नेछ, र टिकटको छोटो तालिकाले त्यो गर्छ।

टिकट बन्द गर्नुअघि:

• क्लाइन्ट प्रोफाइल हटाइए वा बदलिए, अज्ञात यन्त्र टुंगिए
• पीयर हटाइए र कन्फिग फेरि लागू गरियो, वा प्रमाणपत्र रद्द गरी CRL प्रकाशित गरियो
• डाइरेक्टरी खाता अक्षम गरियो, स्थानीय फाइल मात्र हटाइएन
• सेवा अक्षम गरियो, पुरानो पोर्टमा कुनै श्रोता बाँकी रहेन
• फायरवाल, पोर्ट फर्वार्ड, सुरक्षा समूह र DNS प्रविष्टि हटाइए
• ब्याकअप लेबल गरिए, स्न्यापसट पुनर्स्थापना मार्गबाट बाहिर
• मोनिटरिङ र अटोमेसन प्रमाण अवकाश

प्रतिस्थापनलाई छुट्टै प्रमाणित गर्नुहोस्, कहिल्यै पुरानो प्रोफाइल नभएको क्लाइन्टबाट। त्यही एउटा परीक्षणले तपाईंले सेवा अवकाश दिनुभयो वा समस्याको नाम मात्र बदल्नुभयो भनी बताउँछ।