د VPN سرور بیرته راګرځولو طریقه پرته له دې چې هویتونه تکرار شي

تاسو بیک اپ بیرته راګرځولی، خدمت پیل شو او یو کلاینټ په لومړي هڅه کې وصل شو۔ هغه بریا همدا تله ده۔ بیرته راګرځول هغه فایلونه بیرته راولي چې سرور د سناپشټ په وخت کې درلودل، نه هغه د لاسرسي حالت چې له هغه وخت راهیسې بدل شوی، او که زوړ پای ټکی لا هم د لاسرسي وړ وي نو اوس دوه ماشینونه یو هویت ته ځواب وایي۔ حل غوره بیک اپ نه دی؛ حل دا دی چې پریکړه وکړئ بیرته راګرځول شوی هوسټ د یوې لاس وهنې ځواب ورکولو دمخه څه کیدای شي۔

بیک اپ فایلونه بیرته راولي، نه واک

سناپشټ د سرور ترتیبات، شخصي کیلي، د سند واک، د همکارانو لیست او د دیوال قواعد هغسې چې د بیک اپ د چلیدو په وخت کې وو، لري۔ هغه څه نشي لرلای چې وروسته بدل شوي: هغه وسیله چې تاسو لغوه کړې، هغه کیلي چې بیا صادره کړې، هغه همکار چې د لیپ ټاپ د پلورلو په وخت کې مو لرې کړ، هغه فرعي شبکه چې مو انتقال کړه۔ بیرته راګرځول فایلونه هغه شیبې ته بیرته وړي۔ هغه پریکړې بیرته نه وړي چې خلکو له هغه وخت راهیسې کړي۔

زیان همدا له دې تشې راځي۔ د بیک اپ څخه دوه اونۍ وروسته لغوه شوی غلا شوی لیپ ټاپ داسې سند وړاندې کوي چې لا هم د بیرته راګرځول شوې ونې په زوړ CRL پورې اعتبار لري، او سرور هغه وسیله مني چې تاسو تقاعد کړې وه۔ WireGuard نور روښانه دی: همکار په لیست کې د یووالي له امله اجازه لري، نو هغه همکار چې د سناپشټ وروسته ړنګ شوی و، ساده بیا شته۔ هیچا هغه لاسرسی بیا تصویب نه کړ۔ زوړ فایل یې وکړ۔

د سرور هویت او د کلاینټ هویت په بیلابیلو لارو ناکامیږي

په WireGuard کې د سرور هویت په wg0.conf کې شخصي کیلي ده، نو هغه فایل بل لاسرسي وړ هوسټ ته کاپي کول دوه سرورونه جوړوي چې یو هویت لري او یو بل نه پېژني۔ هر یو خپل د همکارانو لیست ساتي۔ په نوي هوسټ کې همکار لرې کړئ او زوړ یې لا هم مني؛ په یوه کې wg show وګورئ او د رښتیا نیمه وګورئ۔ کلاینټ هم پخپله نه اوړي: پروفایل یو Endpoint لري، نو وسیله هغه پتې سره خبرې ته دوام ورکوي چې پرې ترتیب شوې وه، کیدای شي هغه هوسټ وي چې تاسو یې تقاعدول غوښتل۔

OpenVPN په همدې پوړ کې د سرور سند، د هغه شخصي کیلي او د tls-auth یا tls-crypt ثابتې کیلي سره تکرار شي۔ درې واړه کاپي کړئ او کلاینټ نشي کولای بېلګې توپیر کړي؛ که دواړه لاسرسي وړ وي بیا نښلول کیدای شي پر هره یوه راوغورځي، او هر لاگ فایل نیمه کیسه کوي۔ د سند واک ژوره کاپي ده۔ بیرته راګرځول شوې easy-rsa ونه د رښتیا دویمه سرچینه ده چې د تاسو لخوا ورکړل شوي هر نوم لپاره سم سند صادرولی شي۔

کلاینټ هم تکرار شي، معمولاً د لیږد په جریان کې۔ پروفایل «یوازې د ازموینې لپاره» بل وسیله ته کاپي کول د همدې کیلي او عمومي نوم سره دویمه وسیله جوړوي۔ د duplicate-cn سره دواړه ناستې یوځای ژوندی پاتې کیدای شي، او په ccd یا ifconfig-pool-persist کې ثابته پته ټاکل د اصلي وسیلې سره ټکر کیدای شي۔ دا دوه ماشینونه دي چې یو هویت اغوندي، او په سرور ترتیباتو کې هېڅ شی دوی نه بیلوي۔

د زوړ پای ټکي لپاره له دریو حالتونو یو وټاکئ

بیرته راګرځول یوازې هغه وخت خوندي دي چې د زوړ پای ټکي برخلیک ټاکل شوی وي۔ تقاعد یې کړئ: زوړ خدمت باید د نوي هوسټ له پیلیدو دمخه د VPN پورټ منل بند کړي، او که ماشین ته نشئ رسیدلای هغه پورټ د شبکې په څنډه کې ستاسو له اداري سرچینې پرته هر چا لپاره بند کړئ۔ هماغه هوسټ جوړ کړئ: د هویت بیا کارول سم دي ځکه یو ماشین یې ساتي، خو بیا وروسته د زوړ کیلي ډیسک کاپي یا VM سناپشټ له منځه یوسئ چې بیرته نشي راتلای۔ د لاسرسي جوړه جوړه کړئ: دوه هوسټونو ته جلا د هوسټ هویتونه او یو ګډ پای ټکی ته اړتیا ده، لکه تلونکې پته، د بار برابرونکی یا هغه DNS چې تاسو یې انتقالولی شئ۔ شخصي کیلي کاپي کول د failover ډیزاین نه دی؛ دا دوه سرورونه دي چې یو نوم غواړي۔

د کلاینټونو د لاس وهلو دمخه تصدیق کړئ چې په رښتیا کوم حالت کې یاست۔ زوړ هوسټ چې د VPN پورټ ځواب وایي هغه دی چې لغوه شوې وسیله به ومني، که څه هم DNS لیږدیدلی وي۔ اوریدونکي او عمومي کیلي وګورئ:

ss -lunp | grep -E ':51820|:1194'
wg show wg0
wg pubkey < /etc/wireguard/server.key

لومړی همکاران، لغوه کول او پتې همغږي کړئ

لیست کړئ چې بیرته راګرځول څه ادعا کوي د هغه څه په وړاندې چې اوس اجازه لري۔ په WireGuard کې wg show wg0 د هر همکار کیلي، پای ټکی، وروستی لاس وهنه او د لیږد شمیرونکي درکوي، چې ستاسو له ملکیت وتلې وسیله پېژندلو لپاره بس دي۔ په ژوندي ډول یې د wg set wg0 peer <key> remove سره لرې کړئ، بیا ترتیبات هم سم کړئ، که نه همکار په راتلونکي پیل کې بیرته راځي۔ wg show wg0 allowed-ips دویمه ستونزه ښکاره کوي: په یوه پته دوه همکاران، یا هغه پته چې تاسو دمخه بیا ټاکلې ده۔

په OpenVPN کې د لغوه کولو لیست نیټه لرونکې فایل دی، او بیرته راګرځول کیدای شي زوړ بیرته راوړي۔ د کلاینټونو له نښلیدو دمخه یې وګورئ:

openssl crl -in /etc/openvpn/crl.pem -noout -lastupdate -nextupdate
grep -E 'crl-verify|reneg-sec' /etc/openvpn/server.conf

که وروستی تازه کول د لغوه کولو دمخه وي، سرور لا هم هغه سند درناوی کوي چې تاسو لغوه کړی وي۔ OpenVPN 2.4 او وروسته د هر نوي نښلیدو لپاره د CRL فایل بیا لولي، نو د فایل بدلول نوي ناستې بندوي، خو جوړ شوي تونلونه تر بیا خبرو اترو پورې پاتې کیږي؛ د reneg-sec اصلي ارزښت 3600 ثانیې دی، او همدا کمول یا خدمت بیا پیلول تاسو ته بدلون اوس درکوي۔ زاړه جوړښتونه کیدای شي فایل دومره باوري وانخلي، نو کله چې د نسخې چلند تصدیق نکړئ بیا پیل یې کړئ۔ د wg(8) لارښود پورته کارول شوې د همکار لرې کول او allowed-ips نحو پوښي۔

هغه وسیلو لپاره ثابتې ټاکنې هم پاکې کړئ چې نور نشته۔ د تقاعد شوې وسیلې پته نوي لپاره بیا کارول چې زوړ پروفایل لا نصب وي، هغه تکرار جوړوي چې تاسو یې د مخنیوي هڅه کوئ۔

د هغه کلاینټ سره تصدیق کړئ چې لغوه مو کړی

ازموینې په ترتیب سره، د تونل څخه بهر شبکې څخه وچلوئ۔ لومړی اجازه لرونکې وسیله نښلي، DNS د استول شوي حل کوونکي له لارې حل کوي او شخصي سرچینې ته رسیږي۔ بیا لغوه شوې وسیله باید ناکامه شي، خپل موجود پروفایل کاروي نه نوی۔ بیا له بهر زوړ پای ټکی وآزموئ: که VPN پورټ لا هم لاس وهنه بشپړوي، زوړ هوسټ ژوندی دی او تکرار ریښتینی دی، نه نظري۔

بیرته راګرځول شوی هوسټ بیا بوټ کړئ او د اجازه لرونکې او لغوه شوې ازموینې تکرار کړئ، ځکه هغه وخت ترتیبات فایل هغه څه ته کامیګړی کیږي چې تاسو د چلیدو په وخت کې بدل کړي وو۔ د هوسټ عمومي کیلي یا د سند د ګوتې نښه د تقاعد شوې ماشین له کارول شوې سره پرتله کړئ۔ په دوو ژوندیو ماشینونو کې ورته ګوته نښې معنی دا ده چې بیرته راګرځول هویت کلون کړی؛ په یوه ماشین کې ورته ګوته نښې نورمال دي۔ بیرته راګرځول شوي نسخې، د کیلي ګوته نښې او لغوه شوې سیریل شمیره یا د همکار کیلي ثبت کړئ، بیا تر دې همغږۍ وروسته راتلونکی بیک اپ واخلئ، تر څو خدمت هغسې چې اوس دی وښیي۔ کار کوونکې ازموینه دا نه ده چې کلاینټ نښلي۔ دا ده چې لرې کړل شوی کلاینټ بهر پاتې کیږي او زوړ پای ټکی بند پاتې کیږي۔