पहिचान नदोहोर्याई VPN सर्भर कसरी पुनर्स्थापना गर्ने

तपाईंले ब्याकअप पुनर्स्थापना गर्नुभयो, सेवा सुरु भयो, र एउटा क्लाइन्ट पहिलो प्रयासमै जोडियो। त्यो सफलता नै जाल हो। पुनर्स्थापनाले स्न्यापसटको समयमा सर्भरसँग भएका फाइलहरू फर्काउँछ, त्यसपछि बदलिएको पहुँच अवस्था होइन, र पुरानो अन्त्य बिन्दु अझै पुग्न सकिने भए अब एउटै पहिचानलाई जवाफ दिने दुई मेसिन छन्। समाधान राम्रो ब्याकअप होइन; समाधान भनेको पुनर्स्थापित होस्टले एउटा ह्यान्डशेकलाई पनि जवाफ दिनुअघि के हुन सक्छ भन्ने निर्णय गर्नु हो।

ब्याकअपले फाइल फर्काउँछ, अधिकार होइन

स्न्यापसटमा सर्भर कन्फिगरेसन, निजी कुञ्जी, प्रमाणपत्र प्राधिकरण, पीयर सूची र फायरवाल नियम ब्याकअप चलेको समयको अवस्थामा हुन्छन्। त्यसपछि बदलिएको कुरा त्यसमा हुन सक्दैन: तपाईंले रद्द गरेको उपकरण, फेरि जारी गरेको कुञ्जी, ल्यापटप बेचिँदा हटाएको पीयर, सारेको सबनेट। पुनर्स्थापनाले फाइलहरूलाई त्यही क्षणमा फर्काउँछ। मानिसहरूले त्यसपछि लिएका निर्णयहरू फर्काउँदैन।

हानि ठ्याक्कै यही अन्तरबाट आउँछ। ब्याकअपको दुई हप्तापछि रद्द गरिएको चोरिएको ल्यापटपले पुनर्स्थापित रूखभित्रको पुरानो CRL विरुद्ध अझै प्रमाणित हुने प्रमाणपत्र प्रस्तुत गर्छ, र सर्भरले तपाईंले अवकाश दिएको उपकरण स्वीकार गर्छ। WireGuard अझ सिधा छ: पीयर सूचीमा भएकै कारण अधिकृत हुन्छ, त्यसैले स्न्यापसटपछि मेटिएको पीयर फेरि त्यत्तिकै हुन्छ। कसैले त्यो पहुँच फेरि स्वीकृत गरेन। पुरानो फाइलले गर्यो।

सर्भरको पहिचान र क्लाइन्टको पहिचान फरक तरिकाले असफल हुन्छन्

WireGuard मा सर्भरको पहिचान wg0.conf मा भएको निजी कुञ्जी हो, त्यसैले त्यो फाइल दोस्रो पुग्न सकिने होस्टमा प्रतिलिपि गर्दा एउटै पहिचान भएका र एकअर्कालाई नचिन्ने दुई सर्भर बन्छन्। प्रत्येकले आफ्नै पीयर सूची राख्छ। नयाँ होस्टमा पीयर हटाउनुहोस् र पुरानोले अझै स्वीकार्छ; एउटामा wg show जाँच्नुहोस् र आधा सत्य देख्नुहुन्छ। क्लाइन्टहरू पनि आफैँ नसर्ने: प्रोफाइलले एउटा Endpoint बोक्छ, त्यसैले उपकरणले आफू कन्फिगर भएको ठेगानासँगै कुरा गरिरहन्छ, जुन तपाईंले अवकाश दिन खोजेको होस्ट हुन सक्छ।

OpenVPN त्यही तहमा सर्भर प्रमाणपत्र, त्यसको निजी कुञ्जी र tls-auth वा tls-crypt स्थिर कुञ्जीले दोहोरिन्छ। तीनवटै प्रतिलिपि गर्नुहोस् र क्लाइन्टले उदाहरणहरू छुट्याउन सक्दैन; दुवै पुग्न सकिने भए पुनः जडान कुनैमा पनि पर्न सक्छ, र हरेक लग फाइल आधा कथा भन्छ। प्रमाणपत्र प्राधिकरण गहिरो प्रति हो। पुनर्स्थापित easy-rsa रूख सत्यको दोस्रो स्रोत हो जसले तपाईंले दिएको जुनसुकै नामका लागि वैध प्रमाणपत्र जारी गर्न सक्छ।

क्लाइन्टहरू पनि दोहोरिन्छन्, सामान्यतया स्थानान्तरणकै क्रममा। प्रोफाइल «केवल परीक्षणका लागि» अतिरिक्त उपकरणमा प्रतिलिपि गर्दा उही कुञ्जी र साझा नाम भएको दोस्रो उपकरण बन्छ। duplicate-cn भए दुवै सत्र एकै समय खुला रहन सक्छन्, र ccd वा ifconfig-pool-persist मा स्थिर ठेगाना तोक्ने कामले मूल उपकरणसँग ठोक्किन सक्छ। यी एउटै पहिचान लगाएका दुई मेसिन हुन्, र सर्भर कन्फिगरेसनमा केहीले पनि तिनलाई छुट्याउँदैन।

पुरानो अन्त्य बिन्दुका लागि तीनमध्ये एउटा अवस्था छान्नुहोस्

पुरानो अन्त्य बिन्दुको भविष्य टुंगिएपछि मात्र पुनर्स्थापन सुरक्षित हुन्छ। अवकाश दिनुहोस्: नयाँ होस्ट सुरु हुनुअघि पुरानो सेवाले VPN पोर्ट स्वीकार गर्न छोड्नुपर्छ, र यदि मेसिनमा पुग्न सक्नुहुन्न भने त्यो पोर्ट नेटवर्कको किनारमा तपाईंको प्रशासनिक स्रोतबाहेक सबैका लागि अवरुद्ध गर्नुहोस्। त्यही होस्ट मर्मत गर्नुहोस्: पहिचान पुनः प्रयोग गर्न ठीक छ किनकि एउटै मेसिनले राख्छ, तर त्यसपछि पुरानो कुञ्जीको डिस्क प्रति वा VM स्न्यापसट नष्ट गर्नुहोस् ताकि फर्किन नसकोस्। उपलब्धता जोडी बनाउनुहोस्: दुई होस्टलाई फरक होस्ट पहिचान र एउटा साझा अन्त्य बिन्दु चाहिन्छ, जस्तै तैरने ठेगाना, लोड ब्यालेन्सर वा सार्न सकिने DNS। निजी कुञ्जीको प्रतिलिपि गर्नु failover डिजाइन होइन; यो एउटै नाम दाबी गर्ने दुई सर्भर हुन्।

क्लाइन्ट छुनुअघि तपाईं वास्तवमै कुन अवस्थामा हुनुहुन्छ पुष्टि गर्नुहोस्। VPN पोर्टमा जवाफ दिने पुरानो होस्टले रद्द गरिएको उपकरण स्वीकार गर्छ, DNS सरे पनि। श्रोता र सार्वजनिक कुञ्जी जाँच्नुहोस्:

ss -lunp | grep -E ':51820|:1194'
wg show wg0
wg pubkey < /etc/wireguard/server.key

पहिले पीयर, रद्दीकरण र ठेगाना मिलाउनुहोस्

पुनर्स्थापनाले के दाबी गर्छ भन्ने कुरालाई अहिले अधिकृत भएकोसँग तुलना गरी सूची बनाउनुहोस्। WireGuard मा wg show wg0 ले प्रत्येक पीयरको कुञ्जी, अन्त्य बिन्दु, पछिल्लो ह्यान्डशेक र स्थानान्तरण गणक दिन्छ, जुन तपाईंसँग नभएको उपकरण पहिचान गर्न पर्याप्त छ। wg set wg0 peer <key> remove ले त्यसलाई जीवितै हटाउनुहोस्, त्यसपछि कन्फिगरेसन पनि सम्पादन गर्नुहोस्, नत्र पीयर अर्को सुरुमा फर्किन्छ। wg show wg0 allowed-ips दोस्रो समस्या खोल्छ: एउटै ठेगानामा दुई पीयर, वा तपाईंले पहिले नै पुनः तोकेको ठेगाना।

OpenVPN मा रद्दीकरण सूची मिति भएको फाइल हो, र पुनर्स्थापनाले पुरानो फर्काउन सक्छ। क्लाइन्ट जोडिनुअघि त्यो जाँच्नुहोस्:

openssl crl -in /etc/openvpn/crl.pem -noout -lastupdate -nextupdate
grep -E 'crl-verify|reneg-sec' /etc/openvpn/server.conf

यदि पछिल्लो अद्यावधिक रद्दीकरणभन्दा अघिको हो भने सर्भरले तपाईंले रद्द गरेको प्रमाणपत्रलाई अझै आदर गरिरहेको छ। OpenVPN 2.4 र त्यसपछिका हरेक नयाँ जडानका लागि CRL फाइल फेरि पढ्छन्, त्यसैले फाइल बदल्दा नयाँ सत्र रोकिन्छन्, तर स्थापित सुरुङहरू पुनः वार्तालापसम्म रहन्छन्; reneg-sec को पूर्वनिर्धारित 3600 सेकेन्ड हो, र त्यसलाई घटाउनु वा सेवा पुनः सुरु गर्नुले नै तपाईंलाई परिवर्तन अहिले दिन्छ। पुराना बिल्डहरूले फाइल त्यति भरपर्दो रूपमा नलिन सक्छन्, त्यसैले संस्करणको व्यवहार पुष्टि गर्न नसके पुनः सुरु गर्नुहोस्। wg(8) पुस्तिका ले माथि प्रयोग गरिएको पीयर हटाउने र allowed-ips वाक्यरचना समेट्छ।

अब नभएका उपकरणका स्थिर तोकाइ पनि सफा गर्नुहोस्। पुरानो प्रोफाइल स्थापित रहँदा अवकाश दिइएको उपकरणको ठेगाना नयाँका लागि पुनः प्रयोग गर्दा तपाईं बच्न खोजेको दोहोरोपन नै बन्छ।

तपाईंले रद्द गरेको क्लाइन्टसँग प्रमाणित गर्नुहोस्

सुरुङबाहिरको नेटवर्कबाट क्रमैसँग जाँचहरू चलाउनुहोस्। पहिले अधिकृत उपकरण जोडिन्छ, धकेलिएको रिजोल्भरमार्फत DNS समाधान गर्छ र निजी स्रोतमा पुग्छ। त्यसपछि रद्द गरिएको उपकरण नयाँ नभई आफ्नै हालको प्रोफाइल प्रयोग गरी असफल हुनुपर्छ। त्यसपछि बाहिरबाट पुरानो अन्त्य बिन्दु प्रयास गर्नुहोस्: VPN पोर्टले अझै ह्यान्डशेक पूरा गर्छ भने पुरानो होस्ट जीवित छ र दोहोरोपन वास्तविक हो, सैद्धान्तिक होइन।

पुनर्स्थापित होस्ट पुनः बुट गर्नुहोस् र अधिकृत तथा रद्द जाँच दोहोर्याउनुहोस्, किनकि त्यतिबेला नै कन्फिगरेसन फाइलले रनटाइममा तपाईंले बदलेको कुरालाई जित्छ। होस्टको सार्वजनिक कुञ्जी वा प्रमाणपत्रको औंठाछाप अवकाश दिइएको मेसिनले प्रयोग गरेकोसँग तुलना गर्नुहोस्। दुई जीवित मेसिनमा मिल्ने औंठाछापको अर्थ पुनर्स्थापनाले पहिचान क्लोन गर्यो; एउटै मेसिनमा मिल्ने औंठाछाप सामान्य हो। पुनर्स्थापित संस्करण, कुञ्जीका औंठाछाप र रद्द गरिएको क्रम संख्या वा पीयर कुञ्जी अभिलेख गर्नुहोस्, त्यसपछि यो मिलानपछि अर्को ब्याकअप लिनुहोस्, ताकि त्यसले सेवालाई अहिले जस्तो छ त्यस्तै प्रतिनिधित्व गरोस्। काम गर्ने परीक्षण क्लाइन्ट जोडिनु होइन। त्यो हो—तपाईंले हटाएको क्लाइन्ट बाहिर रहन्छ र पुरानो अन्त्य बिन्दु बन्द रहन्छ।