Si të tërhiqet një server VPN pa lënë pas akses

Klienti juaj ende lidhet në ditën kur hapet tiketa e tërheqjes. Një profil rri në aplikacion, negocion dhe tuneli ngrihet sikur asgjë të mos ketë ndryshuar. Ky është momenti për të punuar në drejtim të kundërt nga ai me të cilin e ndërtuat shërbimin: fillo nga lista e klientëve, ec nga jashtë te dëgjuesi, pastaj te firewali dhe përfundo me kredencialet që u mbijetojnë të gjithëve. Fikja e VM-së është hapi i fundit, jo i pari. Ky udhëzues supozon se keni akses në konsolën e hostit dhe autoritetin për të redaktuar regjistrimet e klientëve dhe DNS.

Ec fillimisht nëpër listën e klientëve

Hap çfarëdo që shpërndan profilet e tua dhe lexo listën përpara se të prekësh serverin. Çdo zë është një pajisje që beson se ka akses: telefona, laptopë, një ruter dege, një kontejner që sinkronizohet çdo natë. Eksporto atë listë në tiketë, sepse kur hosti të zhduket nuk ka wg show që të thotë kush ishte i lidhur.

Rendit çdo pajisje në pikëmbërritje zëvendësuese, nuk nevojitet më, ose e panjohur. Shporta e të panjohurave është ajo që ka rëndësi, sepse ato janë profilet që dikush do t'i gjejë në një sirtar pas disa muajsh dhe do t'i provojë. Dërgo njoftimin në të njëjtin kanal që përdor për kërkesat e aksesit dhe vendos në të një datë për kur pika e vjetër ndalon së përgjigjuri.

Anulo identitetin, jo vetëm skedarin

Dy veprime të ndryshme quhen të dyja anulim. Në WireGuard, një peer autorizohet vetëm duke u shfaqur çelësi i tij publik në një seksion peer me një zë AllowedIPs, kështu që fshirja e skedarit të konfigurimit nga laptopi nuk ndryshon asgjë në server. Hiq bllokun e peer-it dhe rizbato skedarin pa i hedhur poshtë peer-ët që po mban, siçwg(8) përshkruan:

wg show
wg set wg0 peer <CLIENT_PUBLIC_KEY> remove
wg syncconf wg0 <(wg-quick strip wg0)

wg syncconf është pjesa që të kursen një dritare mirëmbajtjeje. Rindërton ndërfaqen nga skedari në vend, kështu që heqja e një peer-i nuk e rrënon tunelin që po përdorin të gjithë të tjerët. Nëse po tërhiqesh hostin të plotë e jo një peer, radha ende ka rëndësi, sepse ata çelësa mund të jenë të besuar diku tjetër.

Me një konfigurim X.509, hapi i anulimit është certifikata, jo skedari: openssl ca -revoke client.crt dhe pastaj openssl ca -gencrl -out crl.pem. Kjo ka efekt vetëm aty ku verifikuesi e lexon, që do të thotëOpenVPN server me crl-verify të konfiguruar dhe të ringarkuar më pas. Nëse ky portë është i vetmi konsumator i asaj CA, CRL pushon së qenë i rëndësishëm ditën që vdes; nëse e njëjta CA nënshkruan për një portë të dytë, një certifikatë që nuk e anulove kurrë vazhdon të punojë atje.

Llogaritë janë rasti i tretë dhe ai që anashkalohet më shpesh. Kur porta autentikonte përmes RADIUS, LDAP ose një ofrues identiteti të strehuar, llogaria jeton jashtë VPN-së. Çaktivizoje në drejtori. Fshirja e një strofe përdoruesi në server lë një kredencial të vlefshme që pika zëvendësuese do ta pranojë në momentin që të drejtohet te e njëjta drejtori.

Mbyll dëgjuesit dhe rrugët drejt tyre

Ndal shërbimin në një mënyrë që i mbijeton një rindezjeje, pastaj vërteto me një listim soketesh, jo me gjendjen e unit-it. systemctl disable --now wg-quick@wg0 ndalon ndërfaqen dhe heq rrugët e rregullat që shtoi wg-quick; systemctl disable --now openvpn-server@server bën të njëjtën gjë për një instancë OpenVPN me shabllon. Ndiq cilindo prej tyre me ss -lunp dhe ss -ltnp. Një rezultat bosh për portën e vjetër është provimi i vetëm që llogaritet.

Çfarë shtoi wg-quick, wg-quick e heq. Çfarë shtove me dorë mbetet: një rregull NAT i përhershëm, një leje në firewall, një përcjellje porte në ruter, një rregull ingress në një grup sigurie të resë kompjuterike, një dëgjues balancuesi ngarkese. Këto kërkojnë heqje të qartë, dhe po ashtu regjistrimi DNS, domethënë A, AAAA dhe çdo CNAME që tregon te emri. Një emër që zgjidhet në një host të vdekur dështon ndryshe nga një emër që nuk zgjidhet fare, dhe ai ndryshim do t'i kushtojë dikujt një pasdite.

Kopja që harron është kloni. Një snapshot ose një VM e rikthyer nga kopja rezervë mban ende çelësat e hostit dhe listën e vjetër të peer-ëve, dhe nëse diçka e kthen në të njëjtin adresë, klientët rilidhen me një shërbim që ti mendon se është tërhequr. Etiketo grupin e kopjeve rezervë si pjesë e një shërbimi të çaktivizuar dhe mbaje jashtë rrugëve të rikthimit automatik.

Ndihmo çfarë vazhdon të tregojë te pika e vjetër

Profilet e ruajtura në memorie i mbijetojnë DNS-së. Një konfigurim i ruajtur me adresë numerike vazhdon të telefonojë pasi regjistrimi ka ikur, dhe një klient gjithmonë i ndezur riprovoi në çdo ndryshim rrjeti. Ky është zhurmë, jo akses, sepse dëgjuesi është i mbyllur, por të dish se cilën po shikon vendos si t'i përgjigjesh tiketës.

Pastaj fshij varësitë që askush nuk i regjistron te VPN: kontrollet e uptime që sondojnë portën, punët e kopjeve rezervë që tërhiqnin konfigurime nga hosti, kredencialet e automatizimit të përdorura për të shtyrë zërat e peer-ëve, llogaritë e rimëkëmbjes të krijuara vetëm për këtë pikë. Secila është një rrugë aksesi me jetëgjatësinë e vet dhe pronarin e vet, kështu që secila merr një vendim në vend të një fshirjeje të heshtur.

Vërteto, pastaj shkruaj

Tërheqja përfundon kur një test nga jashtë dështon pikërisht ashtu siç pret. Nga një rrjet që nuk e kontrollon, lidhu me adresën dhe portën e vjetër. Një rezultat i filtruar ose i refuzuar është rasti i suksesit. Në aplikacionin e klientit, vërteto se profili u hoq dhe nuk u fik thjesht, dhe se asnjë profil administrimi nuk e rikthon pa zë.

Pastaj shkruaj çfarë bëre: pika, data, çelësat dhe certifikatat e anuluara, llogaritë e çaktivizuara, ku ndodhen kopjet rezervë. Kushdo që gjen një konfigurim të vjetër më pas duhet të përgjigjet nëse u anulua apo thjesht u fshi, pa hamendësuar, dhe një tabelë e shkurtër në tiketë e bën këtë.

Përpara se të mbyllësh tiketën:

• profilet e klientëve u hoqën ose u zëvendësuan, pajisjet e panjohura u sqaruan
• peer-ët u hoqën dhe konfigurimi u rizbatua, ose certifikatat u anuluan dhe CRL u publikua
• llogaritë e drejtorisë u çaktivizuan, jo vetëm skedarët lokalë u fshinë
• shërbimi u çaktivizua, asnjë dëgjues nuk mbeti në portën e vjetër
• firewall-i, përcjellja e portës, grupi i sigurisë dhe regjistrimet DNS u hoqën
• kopjet rezervë u etiketuan, snapshot-i u përjashtua nga rrugët e rikthimit
• kredencialet e monitorimit dhe automatizimit u tërhoqën

Vërteto zëvendësimin veçmas, nga një klient që nuk e kishte kurrë profilin e vjetër. Ai test i vetëm të thotë nëse tërhoqe një shërbim apo thjesht e riemërtove problemin.