Kako umiroviti VPN server a da pristup ne ostane za sobom

Vaš klijent se još povezuje na dan kada se otvori tiket za umirovljenje. Profil stoji u aplikaciji, pregovara, i tunel se podiže kao da se ništa nije promijenilo. To je trenutak da radite u suprotnom smjeru od onoga kako ste izgradili uslugu: počnite od liste klijenata, idite prema van do slušatelja, zatim do firewalla, i završite s vjerodajnicama koje nadžive sve to. Gašenje VM-a je posljednji korak, ne prvi. Ovaj vodič pretpostavlja da imate konzolni pristup hostu i ovlast za uređivanje klijentskih zapisa i DNS-a.

Prvo prođite kroz listu klijenata

Otvorite sve što distribuira vaše profile i pročitajte listu prije nego što dotaknete server. Svaki unos je uređaj koji vjeruje da ima pristup: telefoni, prijenosnici, podružni ruter, kontejner koji se sinhronizira svake noći. Izvezite tu listu u tiket, jer kad host nestane, nema wg show da vam kaže ko je bio povezan.

Razvrstajte svaki uređaj u zamjensku krajnju točku, više nije potreban ili nepoznat. Nepoznata kanta je ona koja je važna, jer to su profili koje će neko pronaći u ladici za nekoliko mjeseci i pokušati. Pošaljite obavijest na istom kanalu koji koristite za zahtjeve za pristup i u nju stavite datum kada stara krajnja točka prestaje odgovarati.

Opozvite identitet, ne samo datoteku

Dvije različite radnje obje se nazivaju opozivom. Na WireGuardu, peer je ovlašten samo svojim javnim ključem koji se pojavljuje u peer sekciji s AllowedIPs unosom, pa brisanje konfiguracijske datoteke s prijenosnika ne mijenja ništa na serveru. Uklonite peer blok i ponovno primijenite datoteku bez ispuštanja peerova koje zadržavate, kako opisuje wg(8) priručnik:

wg show
wg set wg0 peer <CLIENT_PUBLIC_KEY> remove
wg syncconf wg0 <(wg-quick strip wg0)

wg syncconf je dio koji vam štedi prozor za održavanje. Obnavlja sučelje iz datoteke na mjestu, pa uklanjanje jednog peera ne ruši tunel koji svi ostali koriste. Ako umirujete cijeli host, a ne jedan peer, redoslijed je i dalje važan, jer tim se ključevima može vjerovati negdje drugdje.

S X.509 postavkom korak opoziva je certifikat, ne datoteka: openssl ca -revoke client.crt i zatim openssl ca -gencrl -out crl.pem. To ima učinak samo tamo gdje ga verifikator čita, što znači OpenVPN server s konfiguriranim crl-verify i naknadno ponovno učitanim. Ako je ovaj gateway jedini korisnik tog CA, CRL prestaje biti važan onog dana kad umre; ako isti CA potpisuje za drugi gateway, certifikat koji nikada niste opozvali nastavlja raditi tamo.

Računi su treći slučaj i onaj koji se najčešće preskače. Kad se gateway autentificirao preko RADIUS-a, LDAP-a ili hostanog pružatelja identiteta, račun živi izvan VPN-a. Onemogućite ga u direktoriju. Brisanje korisničke stanze na serveru ostavlja valjanu vjerodajnicu koju će zamjenska krajnja točka prihvatiti onog trenutka kad pokaže na isti direktorij.

Zatvorite slušatelje i puteve do njih

Zaustavite uslugu na način koji preživi ponovno podizanje, pa potvrdite popisom socketa, a ne stanjem jedinice. systemctl disable --now wg-quick@wg0 zaustavlja sučelje i uklanja rute i pravila koje je wg-quick dodao; systemctl disable --now openvpn-server@server čini isto za templatiziranu OpenVPN instancu. Nakon bilo kojeg od njih izvršite ss -lunp i ss -ltnp. Prazan rezultat za stari port jedini je dokaz koji se računa.

Što je wg-quick dodao, wg-quick i uklanja. Što ste dodali ručno ostaje: trajno NAT pravilo, firewall dopuštenje, prosljeđivanje porta na ruteru, ulazno pravilo cloud sigurnosne grupe, slušatelj load balancera. To treba izričito ukloniti, a tako i DNS zapis, to jest A, AAAA i svaki CNAME koji pokazuje na ime. Ime koje se razrješava u mrtav host ne uspijeva drukčije od imena koje se ne razrješava, a ta razlika nekoga će koštati poslijepodneva.

Kopija koju zaboravite jest klon. Snapshot ili VM vraćen iz sigurnosne kopije još drži ključeve hosta i staru listu peerova, a ako ga nešto vrati na istu adresu, klijenti se ponovno povezuju na uslugu koju smatrate umirovljenom. Označite sigurnosni set kao da pripada izgašenoj usluzi i držite ga izvan automatskih putanja vraćanja.

Lovite što još pokazuje na staru krajnju točku

Predmemorirani profili nadživljavaju DNS. Spremljena konfiguracija s numeričkom adresom nastavlja birati nakon što zapis nestane, a stalno uključen klijent ponovno pokušava pri svakoj promjeni mreže. To je šum, a ne pristup, jer je slušatelj zatvoren, ali znati na koju od te dvije stvari gledate odlučuje kako odgovarate na tiket.

Zatim pročešljajte ovisnosti koje nitko ne arhivira pod VPN: provjere dostupnosti koje pipaju port, poslove sigurnosne kopije koji su vukli konfiguracije s hosta, automatizacijske vjerodajnice korištene za guranje peer unosa, račune za oporavak stvorene samo za ovu krajnju točku. Svaka je pristupni put s vlastitim životnim vijekom i vlastitim vlasnikom, pa svaka dobiva odluku umjesto tihog brisanja.

Provjerite, pa zapišite

Umirovljenje je završeno kad test izvana padne onako kako očekujete. S mreže koju ne kontrolirate povežite se na staru adresu i port. Filtriran ili odbijen rezultat je uspjeh. U klijentskoj aplikaciji potvrdite da je profil uklonjen, a ne isključen, i da ga nijedan upravljački profil tiho ne dodaje ponovno.

Zatim zapišite što ste učinili: krajnja točka, datum, opozvani ključevi i certifikati, onemogućeni računi, gdje žive sigurnosne kopije. Tko sljedeći nađe staru konfiguraciju mora odgovoriti je li opozvana ili samo izbrisana, bez nagađanja, a kratka tablica u tiketu to čini.

Prije zatvaranja tiketa:

• klijentski profili uklonjeni ili zamijenjeni, nepoznati uređaji razriješeni
• peerovi uklonjeni i konfiguracija ponovno primijenjena, ili certifikati opozvani i CRL objavljen
• računi u direktoriju onemogućeni, a ne samo lokalne datoteke izbrisane
• usluga onemogućena, nijedan slušatelj nije ostao na starom portu
• firewall, prosljeđivanje porta, sigurnosna grupa i DNS unosi uklonjeni
• sigurnosne kopije označene, snapshot isključen iz putanja vraćanja
• nadzorne i automatizacijske vjerodajnice umirovljene

Provjerite zamjenu odvojeno, s klijenta koji nikada nije držao stari profil. Taj jedan test govori je li usluga umirovljena ili je samo problem preimenovan.