Kako upokojiti strežnik VPN, ne da bi za sabo pustili dostop

Vaš odjemalec se še vedno poveže na dan, ko se odpre zahtevek za upokojitev. Profil sedi v aplikaciji, pogaja se in tunel se dvigne, kot da se nič ni spremenilo. To je trenutek, ko delajte v nasprotni smeri, kot ste zgradili storitev: začnite s seznamom odjemalcev, pojdite navzven do poslušalca, nato do požarnega zidu in končajte s poverilnicami, ki preživijo vse to. Ugasnitev navideznega stroja je zadnji korak, ne prvi. Ta vodnik predpostavlja, da imate konzolni dostop do gostitelja in pooblastilo za urejanje zapisov odjemalcev in DNS.

Najprej pojdite čez seznam odjemalcev

Odprite karkoli že razdeljuje vaše profile in preberite seznam, preden se dotaknete strežnika. Vsak vnos je naprava, ki verjame, da ima dostop: telefoni, prenosniki, usmerjevalnik podružnice, vsebnik, ki se vsako noč uskladi. Izvozi ta seznam v zahtevek, ker ko gostitelja ni več, ni wg show, ki bi vam povedal, kdo je bil povezan.

Vsako napravo razvrstite v nadomestno končno točko, ni več potrebna ali neznano. Pomembno je prav predal neznanih, saj so to profili, ki jih bo nekdo čez nekaj mesecev našel v predalu in poskusil. Obvestilo pošljite po istem kanalu, kot ga uporabljate za zahtevke za dostop, in vanj vpišite datum, ko stara končna točka neha odgovarjati.

Prekličite identiteto, ne le datoteko

Dve različni dejanji se obe imenujeta preklic. V WireGuardu je peer pooblaščen le s tem, da se njegov javni ključ pojavi v razdelku peer z vnosom AllowedIPs, zato brisanje konfiguracijske datoteke s prenosnika na strežniku ne spremeni ničesar. Odstranite blok peer in znova uveljavite datoteko, ne da bi odvrgli peerje, ki jih obdržite, tako kotwg(8) opisuje:

wg show
wg set wg0 peer <CLIENT_PUBLIC_KEY> remove
wg syncconf wg0 <(wg-quick strip wg0)

wg syncconf je del, ki vam prihrani servisno okno. Vmesnik znova zgradi iz datoteke na mestu, zato odstranitev enega peera ne pretrga tunela, ki ga uporabljajo vsi ostali. Če upokojujete celoten gostitelj in ne enega peera, je vrstni red še vedno pomemben, ker so lahko te ključe zaupane drugje.

Pri postavitvi X.509 je korak preklica potrdilo, ne datoteka: openssl ca -revoke client.crt in nato openssl ca -gencrl -out crl.pem. Učinkuje le tam, kjer ga preverjevalec prebere, kar pomeniOpenVPN strežnik z nastavljenim crl-verify in pozneje znova naložen. Če je ta prehod edini porabnik te CA, CRL preneha biti pomemben na dan, ko umre; če ista CA podpisuje za drugi prehod, potrdilo, ki ga nikoli niste preklicali, tam še naprej deluje.

Računi so tretji primer in tisti, ki se najpogosteje preskoči. Ko se je prehod overjal prek RADIUS, LDAP ali gostujočega ponudnika identitete, račun živi zunaj VPN. Onemogočite ga v imeniku. Brisanje uporabniškega razdelka na strežniku pusti veljavno poverilnico, ki jo bo nadomestna končna točka sprejela v trenutku, ko bo kazala na isti imenik.

Zaprite poslušalce in poti do njih

Storitev ustavite tako, da preživi ponovni zagon, nato pa to potrdite s seznamom vtičev, ne s stanjem enote. systemctl disable --now wg-quick@wg0 ustavi vmesnik in odstrani poti ter pravila, ki jih je dodal wg-quick; systemctl disable --now openvpn-server@server naredi isto za predlogo OpenVPN. Za vsakim od njiju zaženite ss -lunp in ss -ltnp. Prazen rezultat za stara vrata je edini dokaz, ki šteje.

Kar je dodal wg-quick, wg-quick tudi odstrani. Kar ste dodali ročno, ostane: trajno pravilo NAT, dovoljenje v požarnem zidu, posredovanje vrat na usmerjevalniku, pravilo ingress v oblačni varnostni skupini, poslušalec razporejevalnika obremenitve. To zahteva izrecno odstranitev, prav tako zapis DNS, torej A, AAAA in vsak CNAME, ki kaže na ime. Ime, ki se razreši v mrtvega gostitelja, odpove drugače kot ime, ki se sploh ne razreši, in ta razlika bo nekoga stala popoldne.

Kopija, ki jo pozabite, je klon. Posnetek ali navidezni stroj, obnovljen iz varnostne kopije, še vedno hrani ključe gostitelja in star seznam peerjev, in če ga karkoli vrne na isti naslov, se odjemalci znova povežejo s storitvijo, za katero mislite, da je upokojena. Nabor varnostnih kopij označite kot pripadajoč upokojeni storitvi in ga držite zunaj samodejnih poti za obnovitev.

Sledite temu, kar še kaže na staro končno točko

Predpomnjeni profili preživijo DNS. Shranjena konfiguracija s številčnim naslovom še naprej kliče, potem ko je zapis izginil, in odjemalec, ki je ves čas vklopljen, poskusi znova ob vsaki spremembi omrežja. To je šum, ne dostop, ker je poslušalec zaprt, a vedeti, katero od tega gledate, odloča, kako odgovorite na zahtevek.

Nato preglejte odvisnosti, ki jih nihče ne uvršča pod VPN: preverjanja razpoložljivosti, ki tipajo vrata, opravila varnostnega kopiranja, ki so vlekla konfiguracije z gostitelja, poverilnice za avtomatizacijo, uporabljene za pošiljanje vnosov peerjev, obnovitveni računi, ustvarjeni samo za to končno točko. Vsaka je dostopna pot z lastno življenjsko dobo in lastnim lastnikom, zato vsaka dobi odločitev namesto tihega izbrisa.

Preverite in nato zapišite

Upokojitev je končana, ko preskus od zunaj spodleti natanko tako, kot pričakujete. Iz omrežja, ki ga ne nadzirate, se povežite na stari naslov in vrata. Filtriran ali zavrnjen rezultat je primer uspeha. V odjemalski aplikaciji potrdite, da je bil profil odstranjen in ne izklopljen, ter da ga noben upravljalni profil tiho ne doda nazaj.

Nato zapišite, kaj ste naredili: končna točka, datum, preklicani ključi in potrdila, onemogočeni računi, kje so varnostne kopije. Kdor naslednji najde staro konfiguracijo, mora brez ugibanja odgovoriti, ali je bila preklicana ali le izbrisana, in kratka razpredelnica v zahtevku to omogoči.

Preden zahtevek zaprete:

• profili odjemalcev odstranjeni ali zamenjani, neznane naprave razrešene
• peerji odstranjeni in konfiguracija znova uveljavljena ali potrdila preklicana in CRL objavljen
• računi v imeniku onemogočeni, ne le krajevne datoteke izbrisane
• storitev onemogočena, na starih vratih ni ostal noben poslušalec
• požarni zid, posredovanje vrat, varnostna skupina in zapisi DNS odstranjeni
• varnostne kopije označene, posnetek izključen iz obnovitvenih poti
• poverilnice za nadzor in avtomatizacijo upokojene

Nadomestni strežnik preverite ločeno, od odjemalca, ki ni imel starega profila. Ta en sam preskus pove, ali ste upokojili storitev ali ste le preimenovali težavo.