యాక్సెస్ వదిలిపెట్టకుండా VPN సర్వర్ను రిటైర్ చేయడం ఎలా

రిటైర్మెంట్ టికెట్ తెరిచిన రోజున కూడా మీ క్లయింట్ ఇంకా కనెక్ట్ అవుతుంది। యాప్లో ఒక ప్రొఫైల్ కూర్చొని ఉంది, అది చర్చలు జరుపుతుంది, ఏమీ మారనట్లే టన్నెల్ పైకి వస్తుంది। మీరు సేవను నిర్మించిన దిశకు వ్యతిరేక దిశలో పని చేయాల్సిన క్షణం అదే: క్లయింట్ జాబితాతో ప్రారంభించి, బయటకు లిసనర్ వరకు వెళ్లి, తర్వాత ఫైర్వాల్ వరకు వెళ్లి, అన్నింటినీ మించి నిలిచే ఆధారాలతో ముగించండి। VM ను ఆపివేయడం మొదటి అడుగు కాదు, చివరి అడుగు। ఈ మార్గదర్శిని హోస్ట్ కన్సోల్ యాక్సెస్ మరియు క్లయింట్ రికార్డులు, DNS సవరించే అధికారం మీకు ఉన్నాయని ఊహిస్తుంది।

మొదట క్లయింట్ జాబితా చూడండి

మీ ప్రొఫైల్లను పంపిణీ చేసే ఏదైనా తెరిచి, సర్వర్ను తాకకముందే జాబితా చదవండి। ప్రతి ఎంట్రీ తనకు యాక్సెస్ ఉందని నమ్మే పరికరం: ఫోన్లు, ల్యాప్టాప్లు, బ్రాంచ్ రౌటర్, ప్రతి రాత్రి సింక్ అయ్యే కంటైనర్। ఆ జాబితాను టికెట్లో ఎగుమతి చేయండి, ఎందుకంటే హోస్ట్ పోయాక ఎవరు కనెక్ట్ అయి ఉన్నారో చెప్పే wg show ఉండదు।

ప్రతి పరికరాన్ని ప్రత్యామ్నాయ ఎండ్పాయింట్, ఇక అవసరం లేదు, లేదా తెలియదు అని వర్గీకరించండి। తెలియని వాటి బకెట్ ముఖ్యం, ఎందుకంటే అవే కొన్ని నెలల తర్వాత ఎవరో సొరుగులో కనుగొని ప్రయత్నించే ప్రొఫైల్లు। యాక్సెస్ అభ్యర్థనలకు మీరు వాడే అదే ఛానెల్లో నోటీసు పంపండి, పాత ఎండ్పాయింట్ సమాధానం చెప్పడం ఆపే తేదీని అందులో పెట్టండి।

గుర్తింపును రద్దు చేయండి, ఫైల్ను మాత్రమే కాదు

రెండు వేర్వేరు చర్యలను రెండింటినీ రద్దు అని పిలుస్తారు। WireGuard లో, ఒక peer తన పబ్లిక్ కీ AllowedIPs ఎంట్రీతో peer విభాగంలో కనిపించడం ద్వారానే అధికారం పొందుతుంది, కాబట్టి ల్యాప్టాప్ నుండి కాన్ఫిగ్ ఫైల్ను తొలగించడం సర్వర్లో ఏమీ మార్చదు। peer బ్లాక్ను తీసి, మీరు ఉంచుకునే peerలను వదలకుండా ఫైల్ను మళ్లీ అమలు చేయండి, ఎలాwg(8) వివరిస్తుందో అలా:

wg show
wg set wg0 peer <CLIENT_PUBLIC_KEY> remove
wg syncconf wg0 <(wg-quick strip wg0)

wg syncconf నిర్వహణ విండోను ఆదా చేసే భాగం। ఇది ఫైల్ నుండి ఇంటర్ఫేస్ను అక్కడే తిరిగి నిర్మిస్తుంది, కాబట్టి ఒక peer తీసేయడం మిగతా అందరూ వాడుతున్న టన్నెల్ను చిరగదు। ఒక peer బదులు మొత్తం హోస్ట్ను రిటైర్ చేస్తే, క్రమం ఇంకా ముఖ్యం, ఎందుకంటే ఆ కీలు మరెక్కడో నమ్మబడి ఉండవచ్చు।

X.509 సెటప్లో, రద్దు చేసే అడుగు సర్టిఫికెట్, ఫైల్ కాదు: openssl ca -revoke client.crt ఆపై openssl ca -gencrl -out crl.pem। ఇది వెరిఫైయర్ చదివే చోట మాత్రమే పనిచేస్తుంది, అంటేOpenVPN crl-verify కాన్ఫిగర్ చేసి తర్వాత మళ్లీ లోడ్ చేసిన సర్వర్। ఈ గేట్వే ఆ CAకు ఏకైక వినియోగదారు అయితే, అది చనిపోయే రోజున CRL ప్రాముఖ్యత కోల్పోతుంది; అదే CA రెండో గేట్వేకు సంతకం చేస్తే, మీరు ఎప్పుడూ రద్దు చేయని సర్టిఫికెట్ అక్కడ పని చేస్తూనే ఉంటుంది।

ఖాతాలు మూడో సందర్భం, అత్యధికంగా దాటవేయబడేది। గేట్వే RADIUS, LDAP లేదా హోస్టెడ్ గుర్తింపు ప్రొవైడర్ ద్వారా ప్రామాణీకరించినప్పుడు, ఖాతా VPN వెలుపల బతుకుతుంది। దానిని డైరెక్టరీలో నిలిపివేయండి। సర్వర్లో యూజర్ స్టాన్జాను తొలగించడం చెల్లుబాటు అయ్యే ఆధారాన్ని మిగిల్చిస్తుంది, ప్రత్యామ్నాయ ఎండ్పాయింట్ అదే డైరెక్టరీని చూపిన క్షణం దానిని అంగీకరిస్తుంది।

లిసనర్లను, వాటికి దారులను మూసివేయండి

రీబూట్ను తట్టుకునే విధంగా సేవను ఆపి, తర్వాత యూనిట్ స్థితి కాకుండా సాకెట్ జాబితాతో నిర్ధారించండి। systemctl disable --now wg-quick@wg0 ఇంటర్ఫేస్ను ఆపి wg-quick జోడించిన రూట్లు, నియమాలను తీసేస్తుంది; systemctl disable --now openvpn-server@server టెంప్లేట్ OpenVPN ఇన్స్టాన్స్కు అదే చేస్తుంది। వాటిలో ఏదైనా తర్వాత ss -lunp మరియు ss -ltnp చేయండి। పాత పోర్టుకు ఖాళీ ఫలితమే లెక్కించే ఏకైక రుజువు।

wg-quick జోడించిందాన్ని wg-quick తీసేస్తుంది। మీరు చేతితో జోడించినవి మిగులుతాయి: శాశ్వత NAT నియమం, ఫైర్వాల్లో అనుమతి, రౌటర్లో పోర్ట్ ఫార్వార్డ్, క్లౌడ్ సెక్యూరిటీ గ్రూప్ ingress నియమం, లోడ్ బ్యాలెన్సర్ లిసనర్। వాటికి స్పష్టమైన తొలగింపు అవసరం, DNS రికార్డుకూ అదే, అంటే A, AAAA మరియు పేరును చూపే ఏ CNAME అయినా। చనిపోయిన హోస్ట్కు రిజాల్వ్ అయ్యే పేరు రిజాల్వ్ కాని పేరు కంటే భిన్నంగా విఫలమవుతుంది, ఆ తేడా ఎవరో మధ్యాహ్నాన్ని తీసుకుంటుంది।

మీరు మరచిపోయే కాపీయే క్లోన్। బ్యాకప్ నుండి పునరుద్ధరించిన స్నాప్షాట్ లేదా VM ఇంకా హోస్ట్ కీలు, పాత peer జాబితాను కలిగి ఉంటుంది, ఏదైనా దానిని అదే చిరునామాకు తిరిగి తెచ్చినా, క్లయింట్లు మీరు రిటైర్ అయిందని భావించే సేవకు తిరిగి కనెక్ట్ అవుతారు। బ్యాకప్ సెట్ను డీకమిషన్ చేసిన సేవకు చెందినదిగా లేబుల్ చేసి, ఆటోమేటిక్ రీస్టోర్ మార్గాలకు దూరంగా ఉంచండి।

పాత ఎండ్పాయింట్ను ఇంకా చూపుతున్నదాన్ని వెంటాడండి

కాష్ చేసిన ప్రొఫైల్లు DNS కంటే ఎక్కువ కాలం జీవిస్తాయి। సంఖ్యా చిరునామాతో సేవ్ చేసిన కాన్ఫిగ్ రికార్డ్ పోయాక కూడా డయల్ చేస్తూనే ఉంటుంది, ఎప్పుడూ ఆన్లో ఉండే క్లయింట్ ప్రతి నెట్వర్క్ మార్పుకూ మళ్లీ ప్రయత్నిస్తుంది। లిసనర్ మూసి ఉన్నందున అది యాక్సెస్ కాదు, శబ్దం, కానీ మీరు ఏది చూస్తున్నారో తెలియడం టికెట్కు ఎలా జవాబివ్వాలో నిర్ణయిస్తుంది।

తర్వాత ఎవరూ VPN కింద నమోదు చేయని ఆధారాలను తుడిచివేయండి: పోర్టును ప్రోబ్ చేసే uptime తనిఖీలు, హోస్ట్ నుండి కాన్ఫిగ్లను లాగిన బ్యాకప్ పనులు, peer ఎంట్రీలను పుష్ చేయడానికి వాడిన ఆటోమేషన్ ఆధారాలు, ఈ ఎండ్పాయింట్ కోసమే సృష్టించిన రికవరీ ఖాతాలు। ఒక్కొక్కటీ తన జీవితకాలం, తన యజమాని కలిగిన యాక్సెస్ మార్గం, కాబట్టి ఒక్కొక్కటీ నిశ్శబ్ద తొలగింపు బదులు నిర్ణయం పొందుతుంది।

నిర్ధారించి, తర్వాత రాయండి

బయటి నుండి చేసిన పరీక్ష మీరు ఊహించిన విధంగానే విఫలమైనప్పుడు రిటైర్మెంట్ పూర్తవుతుంది। మీరు నియంత్రించని నెట్వర్క్ నుండి, పాత చిరునామా, పోర్టుకు కనెక్ట్ అవ్వండి। ఫిల్టర్ అయిన లేదా తిరస్కరించిన ఫలితమే విజయ సందర్భం। క్లయింట్ యాప్లో, ప్రొఫైల్ ఆపివేయబడలేదు, తొలగించబడింది అని, ఏ నిర్వహణ ప్రొఫైల్ దానిని నిశ్శబ్దంగా తిరిగి చేర్చడం లేదని నిర్ధారించండి।

తర్వాత మీరు చేసినది నమోదు చేయండి: ఎండ్పాయింట్, తేదీ, రద్దు చేసిన కీలు, సర్టిఫికెట్లు, నిలిపివేసిన ఖాతాలు, బ్యాకప్లు ఎక్కడ ఉన్నాయి। తర్వాత పాత కాన్ఫిగ్ను కనుగొనేవారు అది రద్దు చేయబడిందా లేదా తొలగించబడిందా అని ఊహించకుండా జవాబివ్వాలి, టికెట్లో చిన్న పట్టిక అది చేస్తుంది।

టికెట్ మూసివేసే ముందు:

• క్లయింట్ ప్రొఫైల్లు తొలగించబడ్డాయి లేదా భర్తీ చేయబడ్డాయి, తెలియని పరికరాలు పరిష్కరించబడ్డాయి
• peerలు తొలగించబడి కాన్ఫిగ్ మళ్లీ అమలు చేయబడింది, లేదా సర్టిఫికెట్లు రద్దు చేయబడి CRL ప్రచురించబడింది
• డైరెక్టరీ ఖాతాలు నిలిపివేయబడ్డాయి, స్థానిక ఫైళ్లు మాత్రమే తొలగించబడలేదు
• సేవ నిలిపివేయబడింది, పాత పోర్టులో లిసనర్ మిగలలేదు
• ఫైర్వాల్, పోర్ట్ ఫార్వార్డ్, సెక్యూరిటీ గ్రూప్, DNS ఎంట్రీలు తొలగించబడ్డాయి
• బ్యాకప్లు లేబుల్ చేయబడ్డాయి, స్నాప్షాట్ రీస్టోర్ మార్గాల నుండి మినహాయించబడింది
• మానిటరింగ్, ఆటోమేషన్ ఆధారాలు రిటైర్ చేయబడ్డాయి

ప్రత్యామ్నాయాన్ని విడిగా నిర్ధారించండి, పాత ప్రొఫైల్ ఎప్పుడూ లేని క్లయింట్ నుండి। ఆ ఒక్క పరీక్షే మీరు సేవను రిటైర్ చేశారా లేదా సమస్యకు కేవలం కొత్త పేరు పెట్టారా అని చెబుతుంది।