Ako vyradiť VPN server z prevádzky a nezanechať prístup

Váš klient sa pripojí aj v deň, keď sa otvorí tiket na vyradenie. Profil sedí v aplikácii, vyjednáva a tunel sa zdvihne, akoby sa nič nezmenilo. To je moment, keď máte pracovať opačným smerom, než ste službu stavali: začnite pri zozname klientov, prejdite von k listeneru, potom k firewallu a skončite pri údajoch, ktoré prežijú všetky. Vypnutie virtuálneho stroja je posledný krok, nie prvý. Tento návod predpokladá, že máte konzolový prístup k hostiteľovi a oprávnenie upravovať klientske záznamy a DNS.

Najprv prejdite zoznam klientov

Otvorte čokoľvek, čo distribuuje vaše profily, a prečítajte si zoznam, skôr než sa dotknete servera. Každý záznam je zariadenie, ktoré si myslí, že má prístup: telefóny, notebooky, router pobočky, kontajner, ktorý sa každú noc synchronizuje. Exportujte ten zoznam do tiketu, pretože keď hostiteľ zmizne, neexistuje wg show, ktorý by vám povedal, kto bol pripojený.

Každé zariadenie zaraďte do kategórie náhradný endpoint, už nepotrebné alebo neznáme. Dôležitá je práve kategória neznámych, pretože to sú tie profily, ktoré niekto o pár mesiacov nájde v zásuvke a skúsi. Oznámenie pošlite tým istým kanálom, aký používate na žiadosti o prístup, a vpíšte doň dátum, kedy starý endpoint prestane odpovedať.

Zrušte identitu, nielen súbor

Dve rôzne činnosti sa obe nazývajú zrušenie. Vo WireGuarde je peer autorizovaný iba tým, že sa jeho verejný kľúč objaví v sekcii peer so záznamom AllowedIPs, takže zmazanie konfiguračného súboru z notebooku na serveri nič nezmení. Odstráňte blok peera a znova aplikujte súbor bez toho, aby ste zahodili peerov, ktorých sa držíte, presne akowg(8) opisuje:

wg show
wg set wg0 peer <CLIENT_PUBLIC_KEY> remove
wg syncconf wg0 <(wg-quick strip wg0)

wg syncconf je časť, ktorá vám ušetrí servisné okno. Zostaví rozhranie zo súboru na mieste, takže odstránenie jedného peera nepretrhne tunel, ktorý používajú všetci ostatní. Ak vyraďujete celý hostiteľ a nie jedného peera, poradie stále záleží, pretože tie kľúče môžu byť dôveryhodné inde.

V zostave X.509 je krokom zrušenia certifikát, nie súbor: openssl ca -revoke client.crt a potom openssl ca -gencrl -out crl.pem. Účinkuje len tam, kde ho overovateľ číta, čo znamenáOpenVPN server s nastaveným crl-verify a následne znovu načítaný. Ak je tento gateway jediným konzumentom tej CA, CRL prestane mať význam v deň, keď zomrie; ak tá istá CA podpisuje pre druhý gateway, certifikát, ktorý ste nikdy nezrušili, tam ďalej funguje.

Účty sú tretí prípad a ten najčastejšie vynechávaný. Keď sa gateway autentifikoval cez RADIUS, LDAP alebo hosťovaného poskytovateľa identity, účet žije mimo VPN. Vypnite ho v adresári. Zmazanie používateľskej sekcie na serveri zanechá platný údaj, ktorý náhradný endpoint prijme v momente, keď ukáže na ten istý adresár.

Zatvorte listenery a cesty k nim

Zastavte službu tak, aby prežila reštart, a potom to potvrďte výpisom socketov, nie stavom unitu. systemctl disable --now wg-quick@wg0 zastaví rozhranie a odstráni trasy a pravidlá, ktoré pridal wg-quick; systemctl disable --now openvpn-server@server urobí to isté pre šablónovú inštanciu OpenVPN. Za každým z nich spustite ss -lunp a ss -ltnp. Prázdny výsledok pre starý port je jediný dôkaz, ktorý sa počíta.

Čo pridal wg-quick, wg-quick aj odstráni. Čo ste pridali ručne, zostáva: trvalé pravidlo NAT, povolenie vo firewalle, presmerovanie portu na routeri, pravidlo ingress v cloudovej bezpečnostnej skupine, listener load balancera. To si vyžaduje výslovné odstránenie, rovnako ako DNS záznam, teda A, AAAA a akýkoľvek CNAME ukazujúci na meno. Meno, ktoré sa prekladá na mŕtvy hostiteľ, zlyháva inak ako meno, ktoré sa neprekladá vôbec, a ten rozdiel niekomu zoberie popoludnie.

Kópia, na ktorú zabudnete, je klon. Snapshot alebo VM obnovená zo zálohy stále drží kľúče hostiteľa a starý zoznam peerov, a ak ju niečo vráti na rovnakú adresu, klienti sa pripoja k službe, ktorú považujete za vyradenú. Označte zálohovú sadu ako patriacu vyradenej službe a držte ju mimo automatických obnovovacích ciest.

Dohľadajte, čo ešte ukazuje na starý endpoint

Profily v cache prežívajú DNS. Uložená konfigurácia s číselnou adresou ďalej vytáča aj po zmiznutí záznamu a klient stále zapnutý skúša znova pri každej zmene siete. Je to šum, nie prístup, pretože listener je zatvorený, ale vedieť, ktorý z nich vidíte, rozhoduje o tom, ako odpoviete na tiket.

Potom prejdite závislosti, ktoré nikto nevykazuje ako VPN: kontroly uptime sondiace port, zálohovacie úlohy, ktoré ťahali konfigurácie z hostiteľa, automatizačné údaje použité na vkladanie peer záznamov, obnovovacie účty vytvorené len pre tento endpoint. Každá je prístupovou cestou s vlastnou životnosťou a vlastným majiteľom, takže každá dostane rozhodnutie namiesto tichého zmazania.

Overte, potom to zapíšte

Vyradenie je hotové, keď test zvonku zlyhá presne tak, ako čakáte. Z siete, ktorú neovládate, sa pripojte na starú adresu a port. Filtrovaný alebo odmietnutý výsledok je prípad úspechu. V klientskej aplikácii potvrďte, že profil bol odstránený a nie vypnutý, a že ho žiadny riadiaci profil potichu nepridáva späť.

Potom zapíšte, čo ste urobili: endpoint, dátum, zrušené kľúče a certifikáty, vypnuté účty, kde sú zálohy. Kto nabudúce nájde starú konfiguráciu, musí odpovedať, či bola zrušená alebo len zmazaná, bez hádania, a krátka tabuľka v tikete to umožní.

Pred zatvorením tiketu:

• klientske profily odstránené alebo nahradené, neznáme zariadenia vyriešené
• peers odstránené a konfigurácia znova aplikovaná, alebo certifikáty zrušené a CRL publikovaná
• účty v adresári vypnuté, nielen lokálne súbory zmazané
• služba vypnutá, na starom porte nezostal žiadny listener
• firewall, presmerovanie portu, bezpečnostná skupina a DNS záznamy odstránené
• zálohy označené, snapshot vylúčený z obnovovacích ciest
• monitorovacie a automatizačné údaje vyradené

Overte náhradu samostatne, od klienta, ktorý nikdy nemal starý profil. Ten jediný test vám povie, či ste vyradili službu alebo len premenovali problém.