Cum retragi un server VPN fără a lăsa acces în urmă

Clientul tău se conectează încă în ziua în care se deschide tichetul de retragere. Un profil stă în aplicație, negociază, iar tunelul se ridică de parcă nimic nu s-ar fi schimbat. Acesta este momentul să lucrezi în direcția opusă celei în care ai construit serviciul: începe cu lista de clienți, mergi spre exterior la listener, apoi la firewall și termină cu acreditările care le supraviețuiesc tuturor. Oprirea VM-ului este ultimul pas, nu primul. Acest ghid presupune că ai acces la consola hostului și autoritatea de a edita înregistrările de client și DNS.

Parcurge mai întâi lista de clienți

Deschide orice distribue profilele tale și citește lista înainte de a atinge serverul. Fiecare intrare este un dispozitiv care crede că are acces: telefoane, laptopuri, un router de sucursală, un container care se sincronizează noaptea. Exportă lista în tichet, pentru că odată ce hostul dispare nu mai există wg show care să-ți spună cine era conectat.

Clasifică fiecare dispozitiv ca endpoint de înlocuire, nu mai este necesar sau necunoscut. Categoria necunoscutelor este cea care contează, pentru că acelea sunt profilele pe care cineva le va găsi într-un sertar peste câteva luni și le va încerca. Trimite anunțul pe același canal pe care îl folosești pentru cererile de acces și pune în el o dată pentru momentul în care endpointul vechi nu mai răspunde.

Revocă identitatea, nu doar fișierul

Două acțiuni diferite se numesc amândouă revocare. În WireGuard, un peer este autorizat doar de cheia lui publică apărând într-o secțiune peer cu o intrare AllowedIPs, așa că ștergerea fișierului de configurare de pe laptop nu schimbă nimic pe server. Elimină blocul de peer și reaplică fișierul fără a renunța la peerii pe care îi păstrezi, așa cumwg(8) descrie manualul:

wg show
wg set wg0 peer <CLIENT_PUBLIC_KEY> remove
wg syncconf wg0 <(wg-quick strip wg0)

wg syncconf este partea care îți economisește o fereastră de mentenanță. Reconstruiește interfața din fișier pe loc, așa că eliminarea unui peer nu dărâmă tunelul pe care îl folosesc toți ceilalți. Dacă retragi întregul host și nu un singur peer, ordinea contează în continuare, pentru că acele chei pot fi de încredere în altă parte.

Cu o configurație X.509, pasul de revocare este certificatul, nu fișierul: openssl ca -revoke client.crt și apoi openssl ca -gencrl -out crl.pem. Asta are efect doar acolo unde verificatorul îl citește, ceea ce înseamnăOpenVPN server cu crl-verify configurat și reîncărcat ulterior. Dacă acest gateway este singurul consumator al acelei CA, CRL-ul nu mai contează în ziua în care moare; dacă aceeași CA semnează pentru un al doilea gateway, un certificat pe care nu l-ai revocat niciodată funcționează în continuare acolo.

Conturile sunt al treilea caz și cel mai des omis. Când gateway-ul se autentifica prin RADIUS, LDAP sau un furnizor de identitate găzduit, contul trăiește în afara VPN-ului. Dezactivează-l în director. Ștergerea unei strofe de utilizator pe server lasă o acreditare validă pe care endpointul de înlocuire o va accepta în momentul în care indică același director.

Închide listenerii și căile către ei

Oprește serviciul într-un mod care supraviețuiește unui reboot, apoi confirmă cu o listare de socket-uri, nu cu starea unității. systemctl disable --now wg-quick@wg0 oprește interfața și elimină rutele și regulile adăugate de wg-quick; systemctl disable --now openvpn-server@server face la fel pentru o instanță OpenVPN bazată pe template. Urmează oricare dintre ele cu ss -lunp și ss -ltnp. Un rezultat gol pentru portul vechi este singura dovadă care contează.

Ce a adăugat wg-quick, wg-quick elimină. Ce ai adăugat manual rămâne: o regulă NAT persistentă, o permisiune în firewall, un port-forward pe router, o regulă de ingress într-un security group din cloud, un listener de load balancer. Acele lucruri cer eliminare explicită, la fel și înregistrarea DNS, adică A, AAAA și orice CNAME care arată spre nume. Un nume care se rezolvă la un host mort eșuează altfel decât un nume care nu se rezolvă, iar diferența aceea va costa pe cineva o după-amiază.

Copia pe care o uiți este clona. Un snapshot sau un VM restaurat din backup păstrează încă cheile hostului și lista veche de peeri, iar dacă ceva îl readuce pe aceeași adresă, clienții se reconectează la un serviciu pe care îl crezi retras. Etichetează setul de backup ca aparținând unui serviciu dezafectat și ține-l în afara căilor de restaurare automată.

Urmărește ce mai indică spre endpointul vechi

Profilele din cache supraviețuiesc DNS-ului. O configurație salvată cu o adresă numerică continuă să sune după ce înregistrarea a dispărut, iar un client mereu pornit reîncearcă la fiecare schimbare de rețea. Asta este zgomot, nu acces, pentru că listenerul este închis, dar să știi pe care dintre ele îl vezi decide cum răspunzi la tichet.

Apoi baliază dependențele pe care nimeni nu le încadrează la VPN: verificări de uptime care sondează portul, joburi de backup care trăgeau configurații de pe host, acreditări de automatizare folosite pentru a împinge intrări de peeri, conturi de recuperare create doar pentru acest endpoint. Fiecare este o cale de acces cu propria durată de viață și propriul proprietar, așa că fiecare primește o decizie în loc de o ștergere silențioasă.

Verifică, apoi notează

Retragerea se termină când un test din exterior eșuează exact cum te aștepți. Dintr-o rețea pe care nu o controlezi, conectează-te la adresa și portul vechi. Un rezultat filtrat sau refuzat este cazul de succes. În aplicația clientului, confirmă că profilul a fost eliminat, nu doar oprit, și că niciun profil de administrare nu îl readaugă în liniște.

Apoi notează ce ai făcut: endpoint, data, cheile și certificatele revocate, conturile dezactivate, unde stau backupurile. Următorul care găsește o configurație veche trebuie să răspundă dacă a fost revocată sau doar ștearsă, fără să ghicească, iar un tabel scurt în tichet face asta.

Înainte de a închide tichetul:

• profilele de client eliminate sau înlocuite, dispozitivele necunoscute lămurite
• peerii eliminați și configurația reaplicată, sau certificatele revocate și CRL-ul publicat
• conturile din director dezactivate, nu doar fișierele locale șterse
• serviciul dezactivat, niciun listener rămas pe portul vechi
• firewall-ul, port-forward-ul, security group-ul și înregistrările DNS eliminate
• backupurile etichetate, snapshotul exclus din căile de restaurare
• acreditările de monitorizare și automatizare retrase

Verifică separat înlocuitorul, de la un client care nu a avut niciodată profilul vechi. Acel singur test îți spune dacă ai retras un serviciu sau doar ai redenumit problema.