Slik avvikler du en VPN-server uten å etterlate tilgang

Klienten din kobler fortsatt til på dagen avviklingsticket åpnes. En profil sitter i appen, den forhandler, og tunnelen kommer opp som om ingenting er endret. Det er øyeblikket for å jobbe i motsatt retning av hvordan du bygde tjenesten: start ved klientlisten, gå utover til lyttetjenesten, deretter til brannmuren, og avslutt med legitimasjonen som overlever dem alle. Å slå av VM-en er det siste trinnet, ikke det første. Denne gjennomgangen forutsetter at du har konsolltilgang til verten og myndighet til å redigere klientposter og DNS.

Gå gjennom klientlisten først

Åpne det som distribuerer profilene dine, og les listen før du rører serveren. Hver oppføring er en enhet som tror den har tilgang: telefoner, bærbare maskiner, en filialruter, en container som synkroniseres hver natt. Eksporter den listen inn i ticketen, for når verten er borte, finnes det ingen wg show som forteller deg hvem som var tilkoblet.

Sorter hver enhet som erstatningsendepunkt, ikke lenger nødvendig eller ukjent. Den ukjente bøtta er den som betyr noe, siden det er profilene noen finner i en skuff om måneder og prøver. Send varselet på samme kanal som du bruker for tilgangsforespørsler, og sett en dato i det for når det gamle endepunktet slutter å svare.

Tilbakekall identiteten, ikke bare filen

To forskjellige handlinger kalles begge tilbakekalling. På WireGuard er en peer bare autorisert av sin offentlige nøkkel som vises i en peer-seksjon med en AllowedIPs-oppføring, så sletting av konfigurasjonsfilen fra den bærbare endrer ingenting på serveren. Fjern peer-blokken og bruk filen på nytt uten å droppe peerne du beholder, slik wg(8)-manualen beskriver:

wg show
wg set wg0 peer <CLIENT_PUBLIC_KEY> remove
wg syncconf wg0 <(wg-quick strip wg0)

wg syncconf er delen som sparer deg et vedlikeholdsvindu. Den bygger grensesnittet på nytt fra filen på stedet, så fjerning av én peer river ikke ned tunnelen alle andre bruker. Hvis du avvikler hele verten i stedet for én peer, betyr rekkefølgen fortsatt noe, fordi disse nøklene kan være betrodd et annet sted.

Med en X.509-oppsett er tilbakekallingstrinnet sertifikatet, ikke filen: openssl ca -revoke client.crt og deretter openssl ca -gencrl -out crl.pem. Det har bare virkning der verifisereren leser det, noe som betyr at en OpenVPN server med crl-verify konfigurert og deretter lastet inn på nytt. Hvis denne gatewayen er den eneste brukeren av den CA-en, slutter CRL å bety noe den dagen den dør; hvis samme CA signerer for en annen gateway, fortsetter et sertifikat du aldri tilbakekalte å virke der.

Kontoer er det tredje tilfellet og det som oftest hoppes over. Da gatewayen autentiserte mot RADIUS, LDAP eller en hostet identitetsleverandør, lever kontoen utenfor VPN-en. Deaktiver den i katalogen. Sletting av en brukerstanze på serveren etterlater gyldig legitimasjon som erstatningsendepunktet vil godta i det øyeblikket det peker på samme katalog.

Lukk lyttetjenestene og veiene til dem

Stopp tjenesten på en måte som overlever en omstart, og bekreft deretter med en socket-liste i stedet for enhetsstatusen. systemctl disable --now wg-quick@wg0 stopper grensesnittet og fjerner rutene og reglene wg-quick la til; systemctl disable --now openvpn-server@server gjør det samme for en malbasert OpenVPN-instans. Følg begge med ss -lunp og ss -ltnp. Et tomt resultat for den gamle porten er det eneste beviset som teller.

Det wg-quick la til, fjerner wg-quick. Det du la til manuelt, blir værende: en vedvarende NAT-regel, en brannmur-tillatelse, en ruter-portvideresending, en inngangsregel i en sky-sikkerhetsgruppe, en lastbalanserer-lytter. Disse må fjernes eksplisitt, og det samme må DNS-oppføringen, altså A, AAAA og enhver CNAME som peker på navnet. Et navn som løses til en død vert, feiler annerledes enn et navn som ikke løses, og den forskjellen vil koste noen en ettermiddag.

Kopien du glemmer, er klonen. Et øyeblikksbilde eller en VM gjenopprettet fra sikkerhetskopi holder fortsatt vertsnøklene og den gamle peer-listen, og hvis noe bringer den tilbake på samme adresse, kobler klienter til på nytt til en tjeneste du tror er avviklet. Merk sikkerhetskopisettet som tilhørende en nedlagt tjeneste, og hold det utenfor automatiske gjenopprettingsveier.

Jag det som fortsatt peker på det gamle endepunktet

Hurtiglagrede profiler overlever DNS. En lagret konfigurasjon med numerisk adresse ringer videre etter at oppføringen er borte, og en alltid påslått klient prøver på nytt ved hver nettverksendring. Det er støy og ikke tilgang, fordi lyttetjenesten er lukket, men å vite hvilken av de to du ser på avgjør hvordan du svarer ticketen.

Fei så gjennom avhengighetene ingen arkiverer under VPN: oppetidskontroller som kjenner på porten, sikkerhetskopijobber som hentet konfigurasjoner fra verten, automatiseringslegitimasjon brukt til å dytte peer-oppføringer, gjenopprettingskontoer opprettet bare for dette endepunktet. Hver er en tilgangsvei med sin egen levetid og sin egen eier, så hver får en beslutning i stedet for en stille sletting.

Verifiser, og skriv det så ned

Avviklingen er ferdig når en test utenfra feiler slik du forventer. Fra et nettverk du ikke kontrollerer, kobler du til den gamle adressen og porten. Et filtrert eller avvist resultat er suksesstilfellet. I klientappen bekrefter du at profilen ble fjernet og ikke bare slått av, og at ingen administrasjonsprofil stille legger den til igjen.

Skriv så ned hva du gjorde: endepunkt, dato, tilbakekalte nøkler og sertifikater, deaktiverte kontoer, hvor sikkerhetskopiene ligger. Den som neste gang finner en gammel konfigurasjon, må kunne svare på om den ble tilbakekalt eller bare slettet, uten å gjette, og en kort tabell i ticketen gjør det.

Før du lukker ticketen:

• klientprofiler fjernet eller erstattet, ukjente enheter avklart
• peers fjernet og konfigurasjonen brukt på nytt, eller sertifikater tilbakekalt og CRL publisert
• katalogkontoer deaktivert, ikke bare lokale filer slettet
• tjeneste deaktivert, ingen lytter igjen på den gamle porten
• brannmur, portvideresending, sikkerhetsgruppe og DNS-oppføringer fjernet
• sikkerhetskopier merket, øyeblikksbilde utelukket fra gjenopprettingsveier
• overvåkings- og automatiseringslegitimasjon avviklet

Verifiser erstatningen separat, fra en klient som aldri hadde den gamle profilen. Den ene testen forteller deg om du avviklet en tjeneste eller bare ga problemet et nytt navn.