د VPN سرور څنګه تقاعد کړو پرته له دې چې لاسرسی پاتې شي

ستاسو کلاینټ د تقاعد ټکټ پرانیستلو په ورځ هم نښلول کېږي۔ یو پروفایل په اپلیکیشن کې دی، خبرې اترې کوي، او تونل داسې پورته راځي لکه هیڅ شی نه وي بدل شوی۔ دا هغه شیبه ده چې د خدمت له جوړولو سره مخالف لوري ته کار وکړئ: د کلاینټ له لیستې پیل وکړئ، بهر ته تر اورېدونکي، بیا تر فایر وال، او په پای کې هغو اسنادو ته ورسېږئ چې له دوی ټولو اوږد ژوند کوي۔ د VM بندول وروستی ګام دی، نه لومړی۔ دا لارښود فرض کوي چې تاسو د کوربه کنسول ته لاسرسی لرئ او د کلاینټ ریکارډونو او DNS د سمولو واک لرئ۔

لومړی د کلاینټ لیسته وګورئ

هر هغه څه پرانیزئ چې ستاسو پروفایلونه توزیع کوي او لیسته وګورئ مخکې له دې چې سرور ته لاس ووهئ۔ هر ثبت یوه وسیله ده چې ګومان کوي لاسرسی لري: تلیفونونه، لیپ ټاپونه، د څانګې راؤټر، یو کانټینر چې هره شپه همغږي کېږي۔ هغه لیسته په ټکټ کې صادر کړئ، ځکه چې کله کوربه لاړ شي نو wg show نشته چې ووایي څوک نښلول شوي وو۔

هره وسیله په بدیل پای ټکی، نور نه اړین، یا نامعلوم ووېشئ۔ نامعلومه ټوټه هغه ده چې اهمیت لري، ځکه چې هغه پروفایلونه دي چې یو څوک به یې میاشتې وروسته په کښۍ کې ومومي او هڅه وکړي۔ خبرتیا په هغه چینل ولېږئ چې د لاسرسي غوښتنو لپاره یې کاروئ، او په کې نېټه وټاکئ چې زاړه پای ټکی کله ځواب نه ورکوي۔

هویت لغوه کړئ، نه یوازې فایل

دوه بېلې کړنې دواړه لغوه کول بلل کېږي۔ په WireGuard کې، یو همکار یوازې د خپل عام کیلي په واسطه اجازه لري چې په همکار برخه کې د AllowedIPs ننوت سره ښکاري، نو له لیپ ټاپ څخه د کانفیګ فایل ړنګول په سرور کې هیڅ نه بدلوي۔ د همکار بلاک لرې کړئ او فایل بیا پلي کړئ پرته له دې چې هغه همکاران له لاسه ورکړئ چې ساتئ، لکه چې د wg(8) لارښود بیانوي:

wg show
wg set wg0 peer <CLIENT_PUBLIC_KEY> remove
wg syncconf wg0 <(wg-quick strip wg0)

wg syncconf هغه برخه ده چې تاسو ته د ساتنې وخت خوندي کوي۔ دا انټرفیس په هماغه ځای کې له فایل څخه بیا جوړوي، نو یو همکار لرې کول هغه تونل نه ړنګوي چې نور یې کاروي۔ که تاسو ټول کوربه تقاعدوئ نه یوازې یو همکار، ترتیب بیا هم مهم دی، ځکه چې هغه کیلي ممکن په بل ځای کې باوري وي۔

د X.509 په ترتیب کې د لغوه کولو ګام سند دی، نه فایل: openssl ca -revoke client.crt او بیا openssl ca -gencrl -out crl.pem۔ دا یوازې هلته اغېزه لري چې تصدیق کوونکی یې لولي، چې مانا یې دا ده چې د OpenVPN سرور چې crl-verify پکې تنظیم شوی او وروسته بیا پورته شوی وي۔ که دا ګېټ وې د هغه CA یوازینی کاروونکی وي، CRL د هغې د مړینې په ورځ اهمیت له لاسه ورکوي؛ که هماغه CA د دویم ګېټ وې لپاره لاسلیک کوي، هغه سند چې تاسو هیڅکله لغوه نه کړی په هماغه ځای کې کار کوي۔

حسابونه دریمه پېښه ده او هغه چې ډېری وخت پرېښودل کېږي۔ کله چې ګېټ وې د RADIUS، LDAP یا کوربه شوي هویت چمتو کوونکي پر وړاندې تصدیق کړی وي، حساب له VPN بهر ژوند کوي۔ دا په لارښود کې غیر فعال کړئ۔ په سرور کې د کاروونکي سټانزا ړنګول یو معتبر اسناد پاتې کوي چې بدیل پای ټکی به یې ومني هغه شیبه چې هماغه لارښود ته اشاره وکړي۔

اورېدونکي او د دوی لارې بندې کړئ

خدمت په داسې ډول ودروئ چې له بیا پیلیدو وروسته هم پاتې شي، بیا د واحد حالت پر ځای د ساکټ لیست سره تایید کړئ۔ systemctl disable --now wg-quick@wg0 انټرفیس ودروي او هغه لارې او قواعد لرې کوي چې wg-quick اضافه کړي؛ systemctl disable --now openvpn-server@server د OpenVPN ټیمپلیټ شوې پېښې لپاره هماغه کار کوي۔ له دواړو څخه یو وروسته ss -lunp او ss -ltnp تعقیب کړئ۔ د زاړه پورټ لپاره خالي پایله یوازینی ثبوت دی چې حساب کېږي۔

هغه څه چې wg-quick اضافه کړي، wg-quick یې لرې کوي۔ هغه څه چې تاسو په لاس اضافه کړي پاتې کېږي: یو دوامداره NAT قاعده، د فایر وال اجازه، د راؤټر پورټ فوروارډ، د کلاوډ امنیتي ګروپ د ننوتلو قاعده، د بار ویشونکي اورېدونکی۔ هغه اړتیا لري چې په ښکاره ډول لرې شي، او همدارنګه د DNS ثبت، یعنې A، AAAA او هر CNAME چې نوم ته اشاره کوي۔ هغه نوم چې مړ کوربه ته حل کېږي په بېل ډول ناکامېږي له هغه نوم چې حل نه کېږي، او دا توپیر به یو څوک یوه ماسپښین لګښت کړي۔

هغه کاپي چې تاسو هیروئ کلون دی۔ یو سنیپ شاټ یا له بیک اپ څخه بیا راژوندی شوی VM لا هم کوربه کیلي او زاړه همکار لیست لري، او که هر څه دا په هماغه پته بېرته راوړي، کلاینټونه هغه خدمت ته بیا نښلول کېږي چې تاسو یې تقاعد شوی ګڼئ۔ د بیک اپ سیټ د تقاعد شوي خدمت په توګه نښه کړئ او له اتوماتیک بیا رغولو لارو بهر یې وساتئ۔

هغه څه تعقیب کړئ چې لا هم زاړه پای ټکي ته اشاره کوي

کیش شوي پروفایلونه له DNS اوږد ژوند کوي۔ یو خوندي شوی کانفیګ چې عددي پته لري وروسته له هغې هم ډایل کوي چې ثبت لاړ، او یو تل فعال کلاینټ په هر شبکه بدلون کې بیا هڅه کوي۔ دا شور دی نه لاسرسی، ځکه چې اورېدونکی بند دی، مګر پوهیدل چې کوم یو ته ګورئ پریکړه کوي چې څنګه ټکټ ته ځواب ورکړئ۔

بیا هغه انحصارونه وجوړئ چې هیڅوک د VPN لاندې نه ثبتوي: د اپ ټایم چکونه چې پورټ ازموي، بیک اپ دندې چې له کوربه څخه کانفیګونه کش کړي، اتوماتیک اسناد چې د همکار ننوتلو لپاره کارول کېږي، د بیا رغولو حسابونه چې یوازې د دې پای ټکي لپاره جوړ شوي۔ هر یو د لاسرسي لاره ده چې خپل ژوند او خپل مالک لري، نو هر یو پریکړه ترلاسه کوي نه پټ ړنګول۔

تایید کړئ، بیا یې ولیکئ

تقاعد هغه وخت بشپړېږي چې له بهر څخه یو ازموینه هغسې ناکامه شي لکه تاسو تمه لرئ۔ له هغه شبکې چې تاسو یې نه کنټرولوئ، زاړه پته او پورټ ته نښلئ۔ فلټر شوې یا رد شوې پایله بریالۍ پېښه ده۔ په کلاینټ اپلیکیشن کې، تایید کړئ چې پروفایل لرې شو نه یوازې بند شو، او دا چې هیڅ مدیریتي پروفایل یې په غلطۍ بیا نه اضافه کوي۔

بیا ولیکئ چې څه مو وکړل: پای ټکی، نېټه، لغوه شوې کیلي او سندونه، غیر فعال شوي حسابونه، بیک اپونه چېرې دي۔ بل څوک چې زاړه کانفیګ ومومي باید ځواب ووایي چې لغوه شوی و یا یوازې ړنګ شوی، پرته له اټکل، او په ټکټ کې یوه لنډه جدول دا کار کوي۔

د ټکټ بندولو دمخه:

• د کلاینټ پروفایلونه لرې یا بدل شوي، نامعلومې وسیلې حل شوې
• همکاران لرې شوي او کانفیګ بیا پلي شوی، یا سندونه لغوه شوي او CRL خپور شوی
• د لارښود حسابونه غیر فعال شوي، نه یوازې محلي فایلونه ړنګ شوي
• خدمت غیر فعال شوی، په زاړه پورټ کې هیڅ اورېدونکی نه دی پاتې
• فایر وال، پورټ فوروارډ، امنیتي ګروپ او د DNS ثبتونه لرې شوي
• بیک اپونه نښه شوي، سنیپ شاټ له بیا رغولو لارو بهر شوی
• د څارنې او اتوماتیک اسناد تقاعد شوي

بدیل په جلا توګه تایید کړئ، له هغه کلاینټ څخه چې هیڅکله زاړه پروفایل نه لري۔ هغه یوه ازموینه تاسو ته وایي چې آیا خدمت مو تقاعد کړ یا یوازې ستونزه مو نوم بدل کړ۔