அணுகலை விட்டுச் செல்லாமல் VPN சேவையகத்தை நிறுத்துவது எப்படி

நிறுத்தல் டிக்கெட் திறக்கும் நாளிலும் உங்கள் வாடிக்கையாளர் இன்னும் இணைக்கிறது। ஒரு விவரக்குறிப்பு பயன்பாட்டில் அமர்ந்திருக்கிறது, அது பேச்சுவார்த்தை நடத்துகிறது, எதுவும் மாறாதது போல சுரங்கப்பாதை மேலெழுகிறது। நீங்கள் சேவையை உருவாக்கியதற்கு எதிர் திசையில் வேலை செய்ய வேண்டிய தருணம் அதுவே: வாடிக்கையாளர் பட்டியலில் தொடங்கி, வெளியே கேட்பி வரை சென்று, பின்னர் ஃபயர்வால் வரை சென்று, அவை அனைத்தையும் மிஞ்சும் அடையாள விவரங்களில் முடிக்கவும்। VM ஐ நிறுத்துவது முதல் படியல்ல, இறுதி படி। இந்த வழிகாட்டி, சேவையகத்தின் கான்சோல் அணுகலும் வாடிக்கையாளர் பதிவுகளையும் DNS ஐயும் திருத்தும் அதிகாரமும் உங்களுக்கு உள்ளது எனக் கருதுகிறது।

முதலில் வாடிக்கையாளர் பட்டியலைப் பாருங்கள்

உங்கள் விவரக்குறிப்புகளை விநியோகிக்கும் எதையும் திறந்து, சேவையகத்தைத் தொடுவதற்கு முன் பட்டியலைப் படியுங்கள்। ஒவ்வொரு உள்ளீடும் தனக்கு அணுகல் உள்ளது என நம்பும் ஒரு சாதனம்: தொலைபேசிகள், லேப்டாப்கள், ஒரு கிளை ரவுட்டர், ஒவ்வொரு இரவும் ஒத்திசைக்கும் ஒரு கண்டெய்னர்। அந்தப் பட்டியலை டிக்கெட்டுக்கு ஏற்றுமதி செய்யுங்கள், ஏனெனில் சேவையகம் போனபிறகு யார் இணைந்திருந்தார்கள் எனக் கூற wg show இல்லை।

ஒவ்வொரு சாதனத்தையும் மாற்று முனை, இனி தேவையில்லை, அல்லது தெரியாதது என வகைப்படுத்துங்கள்। தெரியாதவை என்ற குழுவே முக்கியமானது, ஏனெனில் அவையே பல மாதங்களுக்குப் பிறகு ஒருவர் இழுப்பறையில் கண்டு முயற்சி செய்யப்போகும் விவரக்குறிப்புகள்। அணுகல் கோரிக்கைகளுக்கு நீங்கள் பயன்படுத்தும் அதே வழியில் அறிவிப்பை அனுப்புங்கள், பழைய முனை பதில் சொல்வதை நிறுத்தும் தேதியை அதில் இடுங்கள்।

அடையாளத்தை ரத்து செய்யுங்கள், கோப்பை மட்டுமல்ல

இரண்டு வேறுபட்ட செயல்களும் ரத்து செய்தல் எனப்படுகின்றன। WireGuard இல், ஒரு peer தன் பொது விசை AllowedIPs உள்ளீட்டுடன் peer பிரிவில் தோன்றுவதால் மட்டுமே அதிகாரம் பெறுகிறது, எனவே லேப்டாப்பிலிருந்து உள்ளமைவு கோப்பை அழிப்பது சேவையகத்தில் எதையும் மாற்றாது। peer தொகுதியை அகற்றி, நீங்கள் வைத்திருக்கும் peerகளை விடாமல் கோப்பை மீண்டும் பயன்படுத்துங்கள், எப்படிwg(8) விவரிக்கிறது:

wg show
wg set wg0 peer <CLIENT_PUBLIC_KEY> remove
wg syncconf wg0 <(wg-quick strip wg0)

wg syncconf என்பது ஒரு பராமரிப்பு சாளரத்தைச் சேமிக்கும் பகுதி। இது கோப்பிலிருந்து இடத்திலேயே இடைமுகத்தை மீண்டும் கட்டமைக்கிறது, எனவே ஒரு peer ஐ அகற்றுவது மற்ற அனைவரும் பயன்படுத்தும் சுரங்கப்பாதையைக் கிழிக்காது। ஒரு peer க்கு பதிலாக முழு சேவையகத்தையும் நிறுத்தினால், வரிசை இன்னும் முக்கியம், ஏனெனில் அந்த விசைகள் வேறு எங்காவது நம்பப்படலாம்।

X.509 அமைப்பில், ரத்து செய்யும் படி சான்றிதழ், கோப்பல்ல: openssl ca -revoke client.crt பின்னர் openssl ca -gencrl -out crl.pem। இது சரிபார்ப்பவர் அதைப் படிக்கும் இடத்தில் மட்டுமே பலனளிக்கும், அதாவதுOpenVPN crl-verify அமைக்கப்பட்டு பின்னர் மீண்டும் ஏற்றப்பட்ட சேவையகம்। இந்த கேட்வே அந்த CA வின் ஒரே பயனாளராக இருந்தால், அது இறக்கும் நாளில் CRL முக்கியமற்றதாகிவிடும்; அதே CA இரண்டாவது கேட்வேக்கு கையொப்பமிட்டால், நீங்கள் ஒருபோதும் ரத்து செய்யாத சான்றிதழ் அங்கே தொடர்ந்து வேலை செய்கிறது।

கணக்குகள் மூன்றாவது நிலை, மேலும் அடிக்கடி தவிர்க்கப்படுவது। கேட்வே RADIUS, LDAP அல்லது வழங்கப்பட்ட அடையாள வழங்குநர் மூலம் அங்கீகரித்தபோது, கணக்கு VPN க்கு வெளியே வாழ்கிறது। அதை அடைவில் முடக்குங்கள்। சேவையகத்தில் பயனர் பிரிவை அழிப்பது செல்லுபடியான அடையாளச் சான்றை விட்டுச்செல்லும், மாற்று முனை அதே அடைவை நோக்கியதும் அதை ஏற்கும்।

கேட்பிகளையும் அவற்றுக்கான வழிகளையும் மூடுங்கள்

மீளமர்வைத் தாங்கும் வகையில் சேவையை நிறுத்தி, பின்னர் unit நிலைக்கு பதிலாக சாக்கெட் பட்டியலால் உறுதிப்படுத்துங்கள்। systemctl disable --now wg-quick@wg0 இடைமுகத்தை நிறுத்தி wg-quick சேர்த்த வழித்தடங்களையும் விதிகளையும் அகற்றும்; systemctl disable --now openvpn-server@server டெம்ப்ளேட் OpenVPN மாதிரிக்கு அதையே செய்யும்। எதையும் ss -lunp மற்றும் ss -ltnp உடன் தொடருங்கள்। பழைய துறைமுகத்திற்கு காலி முடிவே கணக்கிடப்படும் ஒரே சான்று।

wg-quick சேர்த்ததை wg-quick அகற்றும்। நீங்கள் கையால் சேர்த்தவை நிலைத்திருக்கும்: நிலையான NAT விதி, ஃபயர்வாலில் அனுமதி, ரவுட்டரில் துறைமுக வழிமாற்றம், மேக பாதுகாப்புக் குழுவில் ingress விதி, லோட் பேலன்சர் கேட்பி। அவற்றுக்கு வெளிப்படையான அகற்றல் தேவை, DNS பதிவுக்கும் அதுவே, அதாவது A, AAAA மற்றும் பெயரை நோக்கும் எந்த CNAME யும்। இறந்த சேவையகத்திற்குத் தீர்க்கப்படும் பெயர் தீர்க்கப்படாத பெயரிலிருந்து வேறுவிதமாக தோல்வியடையும், அந்த வேறுபாடு ஒருவரின் மதியத்தை எடுத்துக்கொள்ளும்।

நீங்கள் மறக்கும் நகலே குளோன்। காப்புப்பிரதியிலிருந்து மீட்டெடுக்கப்பட்ட ஸ்னாப்ஷாட் அல்லது VM இன்னும் சேவையக விசைகளையும் பழைய peer பட்டியலையும் வைத்திருக்கிறது, ஏதேனும் அதை அதே முகவரிக்குத் திருப்பினால், வாடிக்கையாளர்கள் நீங்கள் நிறுத்தியதாக நினைக்கும் சேவைக்கு மீண்டும் இணைவார்கள்। காப்புப்பிரதி தொகுப்பை நிறுத்தப்பட்ட சேவைக்கு உரியது என லேபிளிட்டு தானியங்கி மீட்பு வழிகளுக்கு வெளியே வையுங்கள்।

பழைய முனையை இன்னும் நோக்குவதைப் பின்தொடருங்கள்

தேக்கப்பட்ட விவரக்குறிப்புகள் DNS ஐ மிஞ்சி நிலைக்கும்। எண்முகவரியுடன் சேமிக்கப்பட்ட உள்ளமைவு பதிவு போனபிறகும் தொடர்ந்து அழைக்கும், எப்போதும் இயங்கும் வாடிக்கையாளர் ஒவ்வொரு வலையமைப்பு மாற்றத்திலும் மீண்டும் முயற்சிக்கும்। கேட்பி மூடப்பட்டிருப்பதால் அது அணுகலல்ல, இரைச்சல், ஆனால் எதைப் பார்க்கிறீர்கள் என்பதை அறிவது டிக்கெட்டுக்கு எப்படி பதிலளிப்பது என்பதைத் தீர்மானிக்கும்।

பின்னர் யாரும் VPN கீழ் பட்டியலிடாத சார்புகளைத் துடைக்கவும்: துறைமுகத்தை ஆய்வு செய்யும் uptime சோதனைகள், சேவையகத்திலிருந்து உள்ளமைவுகளை இழுத்த காப்புப்பிரதி வேலைகள், peer உள்ளீடுகளைத் தள்ள பயன்படுத்திய தானியங்கி அடையாளச் சான்றுகள், இந்த முனைக்கே உருவாக்கிய மீட்பு கணக்குகள்। ஒவ்வொன்றும் தனக்கே உரிய ஆயுளும் உரிமையாளரும் கொண்ட அணுகல் வழி, எனவே ஒவ்வொன்றும் அமைதியான அழிப்புக்கு பதிலாக ஒரு முடிவைப் பெறுகிறது।

உறுதிப்படுத்தி, பின்னர் எழுதுங்கள்

வெளியிலிருந்து ஒரு சோதனை நீங்கள் எதிர்பார்த்த விதமாகவே தோல்வியடையும் போது நிறுத்துதல் முடிகிறது। நீங்கள் கட்டுப்படுத்தாத வலையமைப்பிலிருந்து, பழைய முகவரியையும் துறைமுகத்தையும் இணைக்கவும்। வடிகட்டப்பட்ட அல்லது மறுக்கப்பட்ட முடிவே வெற்றி நிலை। வாடிக்கையாளர் பயன்பாட்டில், விவரக்குறிப்பு அணைக்கப்பட்டதல்ல, அகற்றப்பட்டது என்பதையும், எந்த நிர்வாக விவரக்குறிப்பும் அதை அமைதியாக மீண்டும் சேர்க்கவில்லை என்பதையும் உறுதிப்படுத்துங்கள்।

பின்னர் நீங்கள் செய்ததைப் பதிவு செய்யுங்கள்: முனை, தேதி, ரத்து செய்யப்பட்ட விசைகள் மற்றும் சான்றிதழ்கள், முடக்கப்பட்ட கணக்குகள், காப்புப்பிரதிகள் எங்கே உள்ளன। அடுத்து பழைய உள்ளமைவைக் காண்பவர் அது ரத்து செய்யப்பட்டதா அல்லது அழிக்கப்பட்டதா என ஊகிக்காமல் பதிலளிக்க வேண்டும், டிக்கெட்டில் ஒரு சிறிய அட்டவணை அதைச் செய்கிறது।

டிக்கெட்டை மூடுவதற்கு முன்:

• வாடிக்கையாளர் விவரக்குறிப்புகள் அகற்றப்பட்டன அல்லது மாற்றப்பட்டன, தெரியாத சாதனங்கள் தீர்க்கப்பட்டன
• peerகள் அகற்றப்பட்டு உள்ளமைவு மீண்டும் பயன்படுத்தப்பட்டது, அல்லது சான்றிதழ்கள் ரத்து செய்யப்பட்டு CRL வெளியிடப்பட்டது
• அடைவு கணக்குகள் முடக்கப்பட்டன, உள்ளூர் கோப்புகள் மட்டும் அழிக்கப்படவில்லை
• சேவை முடக்கப்பட்டது, பழைய துறைமுகத்தில் கேட்பி எதுவும் எஞ்சவில்லை
• ஃபயர்வால், துறைமுக வழிமாற்றம், பாதுகாப்புக் குழு மற்றும் DNS பதிவுகள் அகற்றப்பட்டன
• காப்புப்பிரதிகள் லேபிளிடப்பட்டன, ஸ்னாப்ஷாட் மீட்பு வழிகளிலிருந்து விலக்கப்பட்டது
• கண்காணிப்பு மற்றும் தானியங்கி அடையாளச் சான்றுகள் நிறுத்தப்பட்டன

மாற்று முனையைத் தனியாக உறுதிப்படுத்துங்கள், பழைய விவரக்குறிப்பு ஒருபோதும் இல்லாத வாடிக்கையாளரிடமிருந்து। அந்த ஒரே சோதனை நீங்கள் சேவையை நிறுத்தினீர்களா அல்லது பிரச்சினைக்கு புதிய பெயர் மட்டும் வைத்தீர்களா என்பதைக் கூறும்।