அடையாளங்களை நகலெடுக்காமல் VPN சேவையகத்தை எவ்வாறு மீட்டெடுப்பது

நீங்கள் காப்புப்பிரதியை மீட்டெடுத்தீர்கள், சேவை தொடங்கியது, ஒரு வாடிக்கையாளர் முதல் முயற்சியிலேயே இணைந்தது. அந்த வெற்றியே பொறி. மீட்டெடுப்பு ஸ்னாப்ஷாட் நேரத்தில் சேவையகத்திடம் இருந்த கோப்புகளைத் திருப்பித் தருகிறது, அதன் பிறகு மாறிய அணுகல் நிலையை அல்ல, பழைய இறுதிப் புள்ளி இன்னும் அணுகக்கூடியதாக இருந்தால் இப்போது ஒரு அடையாளத்திற்குப் பதிலளிக்கும் இரு இயந்திரங்கள் உள்ளன. தீர்வு சிறந்த காப்புப்பிரதி அல்ல; ஒரு கைக்குலுக்கலுக்குக்கூடப் பதிலளிக்கும் முன் மீட்டெடுக்கப்பட்ட புரவலன் என்னவாக இருக்கலாம் என்பதைத் தீர்மானிப்பதே தீர்வு.

காப்புப்பிரதி கோப்புகளைத் திருப்பித் தருகிறது, அதிகாரத்தை அல்ல

ஸ்னாப்ஷாட்டில் சேவையக உள்ளமைவு, தனிப்பட்ட சாவிகள், சான்றிதழ் அதிகாரம், சக பட்டியல் மற்றும் தீர்வரிச் சுவர் விதிகள் காப்புப்பிரதி இயங்கிய நிலையில் உள்ளன. அதன் பிறகு மாறியதை அதில் வைத்திருக்க முடியாது: நீங்கள் ரத்து செய்த சாதனம், மீண்டும் வழங்கிய சாவி, மடிக்கணினி விற்கப்பட்டபோது அகற்றிய சகன், நீங்கள் நகர்த்திய துணை வலைப்பிண்ணல். மீட்டெடுப்பு கோப்புகளை அந்தக் கணத்திற்குத் திருப்புகிறது. மக்கள் அதன் பிறகு எடுத்த முடிவுகளைத் திருப்பாது.

சேதம் அந்த இடைவெளியிலிருந்தே வருகிறது. காப்புப்பிரதிக்கு இரு வாரங்கள் கழித்து ரத்து செய்யப்பட்ட திருடப்பட்ட மடிக்கணினி, மீட்டெடுக்கப்பட்ட மரத்தில் உள்ள பழைய CRL-க்கு எதிராக இன்னும் சரிபார்க்கப்படும் சான்றிதழை வழங்குகிறது, சேவையகம் நீங்கள் ஓய்வு பெறச் செய்த சாதனத்தை ஏற்கிறது. WireGuard இன்னும் நேரடியானது: சகன் பட்டியலில் இருப்பதால் அங்கீகரிக்கப்படுகிறான், எனவே ஸ்னாப்ஷாட்டுக்குப் பிறகு நீக்கப்பட்ட சகன் எளிதாக மீண்டும் இருக்கிறான். யாரும் அந்த அணுகலை மீண்டும் அனுமதிக்கவில்லை. பழைய கோப்பு செய்தது.

சேவையக அடையாளமும் வாடிக்கையாளர் அடையாளமும் வெவ்வேறு வழிகளில் தோல்வியடைகின்றன

WireGuard-இல் சேவையக அடையாளம் wg0.conf-இல் உள்ள தனிப்பட்ட சாவி, எனவே அந்தக் கோப்பை இரண்டாவது அணுகக்கூடிய புரவலனுக்கு நகலெடுப்பது ஒரே அடையாளத்துடன் ஒருவரையொருவர் அறியாத இரு சேவையகங்களை உருவாக்குகிறது. ஒவ்வொன்றும் தனது சொந்த சக பட்டியலை வைத்திருக்கிறது. புதிய புரவலனில் சகனை அகற்றுங்கள், பழையது இன்னும் ஏற்கிறது; ஒன்றில் wg show சரிபார்க்கவும், பாதி உண்மையைக் காண்பீர்கள். வாடிக்கையாளர்களும் தாமாக மாறுவதில்லை: சுயவிவரம் ஒரு Endpoint-ஐக் கொண்டுள்ளது, எனவே சாதனம் உள்ளமைக்கப்பட்ட முகவரியுடனேயே பேசிக்கொண்டிருக்கும், அது நீங்கள் ஓய்வு பெறச் செய்ய நினைத்த புரவலனாக இருக்கலாம்.

OpenVPN அதே அடுக்கில் சேவையகச் சான்றிதழ், அதன் தனிப்பட்ட சாவி மற்றும் tls-auth அல்லது tls-crypt நிலையான சாவியுடன் நகலாகிறது. மூன்றையும் நகலெடுக்கவும், வாடிக்கையாளர் நிகழ்வுகளை வேறுபடுத்த முடியாது; இரண்டும் அணுகக்கூடியதாக இருந்தால் மீண்டும் இணைப்பு எதிலும் விழலாம், ஒவ்வொரு பதிவு கோப்பும் பாதி கதையைச் சொல்கிறது. சான்றிதழ் அதிகாரம் ஆழமான நகல். மீட்டெடுக்கப்பட்ட easy-rsa மரம் இரண்டாவது உண்மை மூலமாகும், நீங்கள் கொடுக்கும் எந்தப் பெயருக்கும் செல்லுபடியாகும் சான்றிதழை வழங்க முடியும்.

வாடிக்கையாளர்களும் நகலாகின்றனர், பொதுவாக இடமாற்றத்தின்போதே. சுயவிவரத்தை «சோதனைக்கு மட்டும்» கூடுதல் சாதனத்திற்கு நகலெடுப்பது அதே சாவி மற்றும் பொதுப் பெயருடன் இரண்டாவது சாதனத்தை உருவாக்குகிறது. duplicate-cn இருந்தால் இரு அமர்வுகளும் ஒரே நேரத்தில் திறந்திருக்கலாம், ccd அல்லது ifconfig-pool-persist-இல் நிலையான முகவரி ஒதுக்கீடு அசல் சாதனத்துடன் மோதலாம். இவை ஒரு அடையாளத்தை அணிந்த இரு இயந்திரங்கள், சேவையக உள்ளமைவில் எதுவும் அவற்றை வேறுபடுத்தாது.

பழைய இறுதிப் புள்ளிக்கு மூன்றில் ஒரு நிலையைத் தேர்ந்தெடுக்கவும்

பழைய இறுதிப் புள்ளியின் தலைவிதி தீர்ந்த பிறகே மீட்டெடுப்பு பாதுகாப்பானது. ஓய்வு பெறச் செய்யுங்கள்: புதிய புரவலன் தொடங்கும் முன் பழைய சேவை VPN துறையை ஏற்பதை நிறுத்த வேண்டும், இயந்திரத்தை அடைய முடியாவிட்டால் அந்தத் துறையை வலைப்பிண்ணல் விளிம்பில் உங்கள் நிர்வாக மூலத்தைத் தவிர அனைவருக்கும் தடுக்கவும். அதே புரவலனைப் பழுதுபாருங்கள்: அடையாளத்தை மீண்டும் பயன்படுத்துவது சரி, ஏனெனில் ஒரு இயந்திரம் அதை வைத்திருக்கிறது, ஆனால் பின்னர் பழைய சாவியின் வட்டு நகல் அல்லது VM ஸ்னாப்ஷாட்டை அழிக்கவும், அது திரும்ப முடியாதபடி. கிடைப்புத்தன்மை இணையை உருவாக்குங்கள்: இரு புரவலர்களுக்கு தனித்தனி புரவலன் அடையாளங்கள் மற்றும் ஒரு பகிரப்பட்ட இறுதிப் புள்ளி தேவை, எடுத்துக்காட்டாக மிதக்கும் முகவரி, சுமை சமநிலைப்படுத்தி அல்லது நீங்கள் நகர்த்தக்கூடிய DNS. தனிப்பட்ட சாவியை நகலெடுப்பது failover வடிவமைப்பு அல்ல; இது ஒரு பெயரைக் கோரும் இரு சேவையகங்கள்.

வாடிக்கையாளர்களைத் தொடும் முன் நீங்கள் உண்மையில் எந்த நிலையில் இருக்கிறீர்கள் என்பதை உறுதிசெய்யுங்கள். VPN துறையில் பதிலளிக்கும் பழைய புரவலனே ரத்து செய்யப்பட்ட சாதனத்தை ஏற்கும், DNS நகர்ந்தாலும். கேட்பவர்களையும் பொதுச் சாவியையும் சரிபார்க்கவும்:

ss -lunp | grep -E ':51820|:1194'
wg show wg0
wg pubkey < /etc/wireguard/server.key

முதலில் சகர்கள், ரத்துகள் மற்றும் முகவரிகளை ஒத்திசைக்கவும்

மீட்டெடுப்பு என்ன கோருகிறது என்பதை இப்போது அங்கீகரிக்கப்பட்டவற்றுடன் ஒப்பிட்டு பட்டியலிடுங்கள். WireGuard-இல் wg show wg0 ஒவ்வொரு சகனின் சாவி, இறுதிப் புள்ளி, சமீபத்திய கைக்குலுக்கல் மற்றும் பரிமாற்ற எண்ணிக்கைகளைத் தருகிறது, உங்களிடம் இல்லாத சாதனத்தைக் கண்டறிய இது போதும். wg set wg0 peer <key> remove மூலம் அதை நேரலையில் அகற்றவும், பின்னர் உள்ளமைவையும் திருத்தவும், இல்லையெனில் சகன் அடுத்த தொடக்கத்தில் திரும்புவான். wg show wg0 allowed-ips இரண்டாவது சிக்கலை வெளிப்படுத்துகிறது: ஒரு முகவரியில் இரு சகர்கள், அல்லது நீங்கள் ஏற்கனவே மீண்டும் ஒதுக்கிய முகவரி.

OpenVPN-இல் ரத்துப் பட்டியல் தேதியுள்ள கோப்பு, மீட்டெடுப்பு பழையதைத் திருப்பித் தரலாம். வாடிக்கையாளர்கள் இணைவதற்கு முன் அதைச் சரிபார்க்கவும்:

openssl crl -in /etc/openvpn/crl.pem -noout -lastupdate -nextupdate
grep -E 'crl-verify|reneg-sec' /etc/openvpn/server.conf

கடைசி புதுப்பிப்பு ரத்துக்கு முந்தையதாக இருந்தால், சேவையகம் நீங்கள் ரத்து செய்த சான்றிதழையே இன்னும் மதிக்கிறது. OpenVPN 2.4 மற்றும் அதற்குப் பிந்தையவை ஒவ்வொரு புதிய இணைப்பிற்கும் CRL கோப்பை மீண்டும் படிக்கின்றன, எனவே கோப்பை மாற்றுவது புதிய அமர்வுகளை நிறுத்தும், ஆனால் நிறுவப்பட்ட சுரங்கப்பாதைகள் மறுபேச்சுவார்த்தை வரை நீடிக்கும்; reneg-sec-இன் இயல்புநிலை 3600 வினாடிகள், அதைக் குறைப்பதோ சேவையை மீண்டும் தொடங்குவதோ இப்போது மாற்றத்தைத் தருகிறது. பழைய கட்டுமானங்கள் கோப்பை அவ்வளவு நம்பகத்தன்மையுடன் எடுக்காமல் இருக்கலாம், எனவே பதிப்பின் நடத்தையை உறுதிசெய்ய முடியாதபோது மீண்டும் தொடங்கவும். wg(8) கையேடு மேலே பயன்படுத்திய சகன் அகற்றல் மற்றும் allowed-ips தொடரியலை உள்ளடக்குகிறது.

இனி இல்லாத சாதனங்களின் நிலையான ஒதுக்கீடுகளையும் சுத்தம் செய்யுங்கள். பழைய சுயவிவரம் நிறுவப்பட்டிருக்கும்போது ஓய்வு பெற்ற சாதனத்தின் முகவரியை புதியதற்கு மீண்டும் பயன்படுத்துவது நீங்கள் தவிர்க்க முயலும் நகலையே உருவாக்குகிறது.

நீங்கள் ரத்து செய்த வாடிக்கையாளருடன் சரிபார்க்கவும்

சுரங்கப்பாதைக்கு வெளியேயுள்ள வலைப்பிண்ணலிலிருந்து சோதனைகளை வரிசையாக இயக்கவும். முதலில் அங்கீகரிக்கப்பட்ட சாதனம் இணைகிறது, தள்ளப்பட்ட தீர்வியின் மூலம் DNS தீர்த்து தனிப்பட்ட வளத்தை அடைகிறது. பின்னர் ரத்து செய்யப்பட்ட சாதனம் புதியதற்குப் பதிலாக அதன் தற்போதைய சுயவிவரத்துடன் தோல்வியடைய வேண்டும். பின்னர் வெளியிலிருந்து பழைய இறுதிப் புள்ளியை முயற்சிக்கவும்: VPN துறை இன்னும் கைக்குலுக்கலை முடித்தால், பழைய புரவலன் உயிருடன் உள்ளது, நகலெடுப்பு உண்மையானது, கோட்பாட்டளவானது அல்ல.

மீட்டெடுக்கப்பட்ட புரவலனை மறுதொடக்கம் செய்து அங்கீகரிக்கப்பட்ட மற்றும் ரத்து செய்யப்பட்ட சோதனைகளை மீண்டும் செய்யவும், ஏனெனில் அப்போதுதான் உள்ளமைவு கோப்பு இயக்க நேரத்தில் நீங்கள் மாற்றியதை வெல்கிறது. புரவலனின் பொதுச் சாவி அல்லது சான்றிதழ் விரல்ரேகையை ஓய்வு பெற்ற இயந்திரம் பயன்படுத்தியதுடன் ஒப்பிடுங்கள். இரு உயிருள்ள இயந்திரங்களில் பொருந்தும் விரல்ரேகைகள் என்பது மீட்டெடுப்பு அடையாளத்தை நகலெடுத்தது; ஒரு இயந்திரத்தில் பொருந்தும் விரல்ரேகைகள் சாதாரணம். மீட்டெடுக்கப்பட்ட பதிப்புகள், சாவி விரல்ரேகைகள் மற்றும் ரத்து செய்யப்பட்ட வரிசை எண் அல்லது சக சாவியைப் பதிவு செய்து, இந்த ஒத்திசைவுக்குப் பிறகு அடுத்த காப்புப்பிரதியை எடுக்கவும், அது சேவையை இப்போது இருப்பதுபோல் பிரதிநிதித்துவப்படுத்தும். வேலை செய்யும் சோதனை வாடிக்கையாளர் இணைவது அல்ல. நீங்கள் அகற்றிய வாடிக்கையாளர் வெளியே இருப்பதும் பழைய இறுதிப் புள்ளி மூடப்பட்டிருப்பதுமே.