Jinsi ya kustaafisha seva ya VPN bila kuacha ufikiaji nyuma

Mteja wako bado anaunganishwa siku tikiti ya kustaafisha inafunguliwa. Wasifu unakaa kwenye programu, unajadiliana, na handaki linatokea kana kwamba hakuna kilichobadilika. Huo ndio wakati wa kufanya kazi kinyume na jinsi ulivyojenga huduma: anza kwenye orodha ya wateja, songa nje hadi kwenye kisikilizaji, kisha hadi kwenye kinga ya moto, na umalize na vitambulisho vinavyodumu zaidi ya vyote. Kuzima VM ni hatua ya mwisho, si ya kwanza. Mwongozo huu unadhani una ufikiaji wa konsoli ya mwenyeji na mamlaka ya kuhariri rekodi za wateja na DNS.

Pitia orodha ya wateja kwanza

Fungua chochote kinachosambaza wasifu wako na usome orodha kabla ya kugusa seva. Kila ingizo ni kifaa kinachodhani kina ufikiaji: simu, kompyuta ndogo, kipanga njia cha tawi, kontena linalosawazisha kila usiku. Hamisha orodha hiyo kwenye tikiti, kwa sababu mwenyeji akiwa ameondoka hakuna wg show ya kukuambia nani alikuwa ameunganishwa.

Panga kila kifaa katika kituo mbadala, hakihitajiki tena, au hakijulikani. Kikundi cha visivyojulikana ndicho cha muhimu, kwa sababu hizo ndizo wasifu ambazo mtu atazipata kwenye droo miezi kadhaa baadaye na kuzijaribu. Tuma taarifa kwenye kituo kilekile unachotumia kwa maombi ya ufikiaji, na weka ndani yake tarehe ya kituo cha zamani kutaacha kujibu.

Batilisha utambulisho, si faili pekee

Vitendo viwili tofauti vyote huitwa ubatilishaji. Kwenye WireGuard, peer hupewa idhini tu kwa ufunguo wake wa umma kuonekana katika sehemu ya peer yenye ingizo la AllowedIPs, kwa hiyo kufuta faili ya usanidi kutoka kwenye kompyuta ndogo hakubadilishi chochote kwenye seva. Ondoa kizuizi cha peer na utumie faili tena bila kuacha peer unaowabakiza, kamawg(8) inavyoeleza:

wg show
wg set wg0 peer <CLIENT_PUBLIC_KEY> remove
wg syncconf wg0 <(wg-quick strip wg0)

wg syncconf ndiyo sehemu inayokuokolea dirisha la matengenezo. Inajenga upya kiolesura kutoka kwenye faili mahali pale, kwa hiyo kuondoa peer mmoja hakuvunji handaki ambalo wengine wote wanatumia. Iwapo unastaafisha mwenyeji mzima badala ya peer mmoja, mpangilio bado ni muhimu, kwa sababu funguo hizo zinaweza kuaminiwa mahali pengine.

Kwenye usanidi wa X.509, hatua ya ubatilishaji ni cheti, si faili: openssl ca -revoke client.crt kisha openssl ca -gencrl -out crl.pem. Hilo lina athari tu pale mkaguzi anapoisoma, kumaanishaOpenVPN seva yenye crl-verify iliyosanidiwa na kupakiwa upya baadaye. Iwapo lango hili ndilo mtumiaji pekee wa CA hiyo, CRL inaacha kuwa muhimu siku inapokufa; iwapo CA hiyohiyo inatia saini kwa lango la pili, cheti ambacho hukuwahi kubatilisha kinaendelea kufanya kazi huko.

Akaunti ni kisa cha tatu na kile kinachorukwa mara nyingi zaidi. Lango lilipothibitisha kupitia RADIUS, LDAP au mtoa utambulisho aliyepangishwa, akaunti inaishi nje ya VPN. Izime kwenye saraka. Kufuta kifungu cha mtumiaji kwenye seva kunaacha kitambulisho halali ambacho kituo mbadala kitakubali mara tu kinapoelekea kwenye saraka hiyohiyo.

Funga visikilizaji na njia za kuvifikia

Simamisha huduma kwa njia inayostahimili kuwashwa upya, kisha thibitisha kwa orodha ya soketi badala ya hali ya unit. systemctl disable --now wg-quick@wg0 inasimamisha kiolesura na kuondoa njia na kanuni zilizoongezwa na wg-quick; systemctl disable --now openvpn-server@server hufanya vivyo hivyo kwa mfano wa OpenVPN ulio na template. Fuata mojawapo kwa ss -lunp na ss -ltnp. Matokeo tupu kwa bandari ya zamani ni uthibitisho pekee unaohesabika.

Kilichoongezwa na wg-quick, wg-quick hukiondoa. Kilichoongezwa kwa mkono kinabaki: kanuni ya NAT ya kudumu, ruhusa ya kinga ya moto, uenezaji wa bandari kwenye kipanga njia, kanuni ya ingress kwenye kikundi cha usalama cha wingu, kisikilizaji cha kusawazisha mzigo. Hivyo vinahitaji kuondolewa kwa uwazi, na vilevile rekodi ya DNS, yaani A, AAAA na CNAME yoyote inayoelekea jina. Jina linalotatuliwa hadi mwenyeji aliyekufa hushindwa kwa namna tofauti na jina lisilotatuliwa kabisa, na tofauti hiyo itamgharimu mtu mchana.

Nakala unayoisahau ndiyo kloni. Snapshot au VM iliyorejeshwa kutoka nakala rudufu bado inashikilia funguo za mwenyeji na orodha ya zamani ya peer, na ikiwa kitu kitairejesha kwenye anwani hiyohiyo, wateja wataunganishwa tena na huduma unayodhani imestaafishwa. Weka lebo kwenye seti ya nakala rudufu kuwa ya huduma iliyostaafishwa na uweke nje ya njia za urejeshaji wa kiotomatiki.

Fuatilia kinachoelekea bado kwenye kituo cha zamani

Wasifu uliohifadhiwa kwenye akiba huishi zaidi ya DNS. Usanidi uliokolewa wenye anwani ya namba unaendelea kupiga simu baada ya rekodi kuondoka, na mteja aliyewashwa kila wakati hujaribu tena kila mabadiliko ya mtandao. Huo ni kelele, si ufikiaji, kwa sababu kisikilizaji kimefungwa, lakini kujua unachokitazama huamua jinsi unavyojibu tikiti.

Kisha fagia tegemezi ambazo hakuna anayeziandika chini ya VPN: ukaguzi wa uptime unaochunguza bandari, kazi za nakala rudufu zilizovuta usanidi kutoka kwa mwenyeji, vitambulisho vya uendeshaji kiotomatiki vilivyotumika kusukuma maingizo ya peer, akaunti za urejeshaji zilizoundwa kwa kituo hiki pekee. Kila moja ni njia ya ufikiaji yenye maisha yake na mmiliki wake, kwa hiyo kila moja hupata uamuzi badala ya kufutwa kimyakimya.

Thibitisha, kisha andika

Kustaafisha hakukamilika hadi jaribio la nje lishindwe kama unavyotarajia. Kutoka mtandao usioudhibiti, unganisha kwenye anwani na bandari ya zamani. Matokeo yaliyochujwa au kukataliwa ndiyo kisa cha mafanikio. Kwenye programu ya mteja, thibitisha kwamba wasifu uliondolewa badala ya kuzimwa, na kwamba hakuna wasifu wa usimamizi unaoiongeza tena kimyakimya.

Kisha andika ulichofanya: kituo, tarehe, funguo na vyeti vilivyobatilishwa, akaunti zilizozimwa, mahali nakala rudufu zilipo. Yeyote atakayepata usanidi wa zamani baadaye lazima ajibu kama ulibatilishwa au kufutwa tu, bila kukisia, na jedwali fupi kwenye tikiti hufanya hivyo.

Kabla ya kufunga tikiti:

• wasifu wa wateja umeondolewa au kubadilishwa, vifaa visivyojulikana vimetatuliwa
• peer wameondolewa na usanidi umetumika tena, au vyeti vimebatilishwa na CRL imechapishwa
• akaunti za saraka zimezimwa, si faili za ndani tu zimefutwa
• huduma imezimwa, hakuna kisikilizaji kilichobaki kwenye bandari ya zamani
• kinga ya moto, uenezaji wa bandari, kikundi cha usalama na rekodi za DNS zimeondolewa
• nakala rudufu zimewekwa lebo, snapshot imeondolewa kwenye njia za urejeshaji
• vitambulisho vya ufuatiliaji na uendeshaji kiotomatiki vimestaafishwa

Thibitisha kituo mbadala kwa vyake, kutoka kwa mteja ambaye hakuwahi kuwa na wasifu wa zamani. Jaribio hilo moja hukuambia kama ulistaafisha huduma au umebadilisha tu jina la tatizo.