Korleis avvikle ein VPN-server utan å etterlate tilgang

Klienten din koplar framleis til på dagen avviklingsticket opnar. Ein profil sit i appen, han forhandlar, og tunnelen kjem opp som om ingenting er endra. Det er augneblinken for å arbeide i motsett retning av korleis du bygde tenesta: start ved klientlista, gå utover til lyttaren, deretter til brannmuren, og avslutt med legitimasjonen som overlever dei alle. Å slå av VM-en er det siste steget, ikkje det første. Denne gjennomgangen føreset at du har konsolltilgang til verten og myndigheit til å redigere klientpostar og DNS.

Gå gjennom klientlista først

Opne det som distribuerer profilane dine, og les lista før du rører serveren. Kvar oppføring er eining som trur ho har tilgang: telefonar, berebile datamaskinar, ein filialruter, ein container som synkroniserer kvar natt. Eksporter den lista inn i ticketen, for når verten er borte, finst det ingen wg show som fortel deg kven som var tilkopla.

Sorter kvar eining som erstatningsendepunkt, ikkje lenger nødvendig eller ukjend. Den ukjende bøtta er den som betyr noko, sidan det er profilane nokon finn i ein skuff om månader og prøver. Send varselet på same kanal som du brukar for tilgangsførespurnader, og set ein dato i det for når det gamle endepunktet sluttar å svare.

Trekk tilbake identiteten, ikkje berre fila

To ulike handlingar blir begge kalla tilbaketrekking. På WireGuard er ein peer berre autorisert av sin offentlege nøkkel som viser seg i ein peer-seksjon med ei AllowedIPs-oppføring, så sletting av konfigurasjonsfila frå den berebile endrar ingenting på serveren. Fjern peer-blokka og bruk fila på nytt utan å droppe peerane du held på, slik wg(8)-manualen skildrar:

wg show
wg set wg0 peer <CLIENT_PUBLIC_KEY> remove
wg syncconf wg0 <(wg-quick strip wg0)

wg syncconf er delen som sparer deg eit vedlikehaldsvindauge. Han byggjer grensesnittet på nytt frå fila på staden, så fjerning av éin peer river ikkje ned tunnelen alle andre brukar. Viss du avviklar heile verten i staden for éin peer, betyr rekkjefølgja framleis noko, fordi desse nøklane kan vere betrudde ein annan stad.

Med eit X.509-oppsett er tilbaketrekkingssteget sertifikatet, ikkje fila: openssl ca -revoke client.crt og deretter openssl ca -gencrl -out crl.pem. Det har berre verknad der verifiseraren les det, noko som betyr at ein OpenVPN server med crl-verify konfigurert og deretter lasta inn på nytt. Viss denne gatewayen er den einaste brukaren av den CA-en, sluttar CRL å bety noko den dagen han døyr; viss same CA signerer for ein annan gateway, held eit sertifikat du aldri trekte tilbake framleis fram å verke der.

Kontoar er det tredje tilfellet og det som oftast blir hoppa over. Då gatewayen autentiserte mot RADIUS, LDAP eller ein hosta identitetsleverandør, lever kontoen utanfor VPN-en. Deaktiver han i katalogen. Sletting av ein brukarstanze på serveren etterlèt gyldig legitimasjon som erstatningsendepunktet vil godta i det augneblinken det peikar på same katalog.

Lukk lyttarane og vegane til dei

Stopp tenesta på ein måte som overlever ein omstart, og stadfest deretter med ei socket-liste i staden for einingstatusen. systemctl disable --now wg-quick@wg0 stoppar grensesnittet og fjernar rutene og reglane wg-quick la til; systemctl disable --now openvpn-server@server gjer det same for ein malbasert OpenVPN-instans. Følg begge med ss -lunp og ss -ltnp. Eit tomt resultat for den gamle porten er det einaste provet som tel.

Det wg-quick la til, fjernar wg-quick. Det du la til manuelt, blir verande: ei varig NAT-regel, ei brannmur-tillating, ei ruter-portvideresending, ei inngangsregel i ei sky-tryggleiksgruppe, ein lastbalanserar-lyttar. Desse må fjernast eksplisitt, og det same må DNS-oppføringa, altså A, AAAA og kvar CNAME som peikar på namnet. Eit namn som blir løyst til ein død vert, feilar annleis enn eit namn som ikkje blir løyst, og den skilnaden vil koste nokon ein ettermiddag.

Kopien du gløymer, er klonen. Eit augeblinksbilete eller ein VM gjenoppretta frå tryggleikskopi held framleis vertsnøklane og den gamle peer-lista, og viss noko bringar han tilbake på same adresse, koplar klientar til på nytt til ei teneste du trur er avvikla. Merk tryggleikskopisettet som høyrande til ei nedlagd teneste, og hald det utanfor automatiske gjenopprettingsvegar.

Jag det som framleis peikar på det gamle endepunktet

Hurtiglagra profilar overlever DNS. Ein lagra konfigurasjon med numerisk adresse ringjer vidare etter at oppføringa er borte, og ein alltid påslått klient prøver på nytt ved kvar nettverksendring. Det er støy og ikkje tilgang, fordi lyttaren er lukka, men å vite kva av dei to du ser på avgjer korleis du svarar ticketen.

Fei så gjennom avhengnadene ingen arkiverer under VPN: oppetidskontrollar som kjenner på porten, tryggleikskopijobbar som henta konfigurasjonar frå verten, automatiseringslegitimasjon brukt til å dytte peer-oppføringar, gjenopprettingskontoar oppretta berre for dette endepunktet. Kvar er ein tilgangsveg med si eiga levetid og sin eigen eigar, så kvar får ei avgjerd i staden for ei stille sletting.

Stadfest, og skriv det så ned

Avviklinga er ferdig når ein test utanfrå feilar slik du forventar. Frå eit nettverk du ikkje kontrollerer, koplar du til den gamle adressa og porten. Eit filtrert eller avvist resultat er suksesstilfellet. I klientappen stadfestar du at profilen vart fjerna og ikkje berre slått av, og at ingen administrasjonsprofil stille legg han til igjen.

Skriv så ned kva du gjorde: endepunkt, dato, tilbaketrekte nøklar og sertifikat, deaktiverte kontoar, kvar tryggleikskopiane ligg. Den som neste gong finn ein gammal konfigurasjon, må kunne svare på om han vart trekt tilbake eller berre sletta, utan å gjette, og ein kort tabell i ticketen gjer det.

Før du lukkar ticketen:

• klientprofilar fjerna eller erstatta, ukjende einingar avklara
• peers fjerna og konfigurasjonen brukt på nytt, eller sertifikat trekte tilbake og CRL publisert
• katalogkontoar deaktiverte, ikkje berre lokale filer sletta
• teneste deaktivert, ingen lyttar att på den gamle porten
• brannmur, portvideresending, tryggleiksgruppe og DNS-oppføringar fjerna
• tryggleikskopiar merkte, augeblinksbilete utelukka frå gjenopprettingsvegar
• overvakings- og automatiseringslegitimasjon avvikla

Stadfest erstatninga separat, frå ein klient som aldri hadde den gamle profilen. Den eine testen fortel deg om du avvikla ei teneste eller berre gav problemet eit nytt namn.