గుర్తింపులను నకలు చేయకుండా VPN సర్వర్ను ఎలా పునరుద్ధరించాలి

మీరు బ్యాకప్ను పునరుద్ధరించారు, సేవ ప్రారంభమైంది, మరియు ఒక క్లయింట్ మొదటి ప్రయత్నంలోనే కనెక్ట్ అయింది. ఆ విజయమే ఉచ్చు. పునరుద్ధరణ స్నాప్షాట్ సమయంలో సర్వర్ వద్ద ఉన్న ఫైల్లను తిరిగి ఇస్తుంది, ఆ తర్వాత మారిన యాక్సెస్ స్థితిని కాదు, పాత చివరి పాయింట్ ఇప్పటికీ అందుబాటులో ఉంటే ఇప్పుడు ఒకే గుర్తింపుకు సమాధానం ఇచ్చే రెండు మెషీన్లు ఉన్నాయి. పరిష్కారం మెరుగైన బ్యాకప్ కాదు; ఒక హ్యాండ్షేక్కు కూడా సమాధానం ఇవ్వకముందే పునరుద్ధరించిన హోస్ట్ ఏమి కావచ్చో నిర్ణయించడమే పరిష్కారం.

బ్యాకప్ ఫైల్లను తిరిగి ఇస్తుంది, అధికారాన్ని కాదు

స్నాప్షాట్లో సర్వర్ కాన్ఫిగరేషన్, ప్రైవేట్ కీలు, సర్టిఫికెట్ అథారిటీ, పీర్ జాబితా మరియు ఫైర్వాల్ నియమాలు బ్యాకప్ నడిచిన సమయంలో ఉన్నట్టుగానే ఉంటాయి. తర్వాత మారినది అందులో ఉండలేదు: మీరు రద్దు చేసిన పరికరం, తిరిగి జారీ చేసిన కీ, ల్యాప్టాప్ అమ్మినప్పుడు తొలగించిన పీర్, మీరు తరలించిన సబ్నెట్. పునరుద్ధరణ ఫైల్లను ఆ క్షణానికి తిరిగి చేరుస్తుంది. ప్రజలు అప్పటి నుండి తీసుకున్న నిర్ణయాలను తిరిగి చేర్చదు.

నష్టం సరిగ్గా ఈ అంతరం నుండే వస్తుంది. బ్యాకప్ తర్వాత రెండు వారాలకు రద్దు చేసిన దొంగిలించిన ల్యాప్టాప్, పునరుద్ధరించిన చెట్టులోని పాత CRLకు వ్యతిరేకంగా ఇప్పటికీ ధృవీకరించబడే సర్టిఫికెట్ను చూపిస్తుంది, మరియు సర్వర్ మీరు విరమించిన పరికరాన్ని అంగీకరిస్తుంది. WireGuard మరింత నేరుగా ఉంటుంది: పీర్ జాబితాలో ఉండటం ద్వారానే అధికారం పొందుతుంది, కాబట్టి స్నాప్షాట్ తర్వాత తొలగించిన పీర్ మళ్లీ ఉన్నట్టే ఉంటుంది. ఎవరూ ఆ యాక్సెస్ను మళ్లీ ఆమోదించలేదు. పాత ఫైలే చేసింది.

సర్వర్ గుర్తింపు మరియు క్లయింట్ గుర్తింపు వేర్వేరు విధాలుగా విఫలమవుతాయి

WireGuardలో సర్వర్ గుర్తింపు wg0.conf లోని ప్రైవేట్ కీ, కాబట్టి ఆ ఫైల్ను రెండవ అందుబాటులో ఉన్న హోస్ట్కు నకలు చేయడం ఒకే గుర్తింపుతో, ఒకరినొకరు తెలియని రెండు సర్వర్లను సృష్టిస్తుంది. ఒక్కొక్కరూ తమ సొంత పీర్ జాబితాను ఉంచుకుంటారు. కొత్త హోస్ట్లో పీర్ను తొలగించండి, పాతది ఇప్పటికీ అంగీకరిస్తుంది; ఒకదానిలో wg show తనిఖీ చేయండి, సగం నిజం కనిపిస్తుంది. క్లయింట్లు కూడా తామే మారవు: ప్రొఫైల్ ఒక Endpointను మోస్తుంది, కాబట్టి పరికరం కాన్ఫిగర్ చేసిన చిరునామాతోనే మాట్లాడుతూనే ఉంటుంది, అది మీరు విరమించాలనుకున్న హోస్ట్ కావచ్చు.

OpenVPN అదే పొరలో సర్వర్ సర్టిఫికెట్, దాని ప్రైవేట్ కీ మరియు tls-auth లేదా tls-crypt స్థిర కీతో నకలు అవుతుంది. మూడింటినీ కాపీ చేయండి, క్లయింట్ సందర్భాలను వేరు చేయలేడు; రెండూ అందుబాటులో ఉంటే తిరిగి కనెక్ట్ అవ్వడం ఏదైనా ఒకదానిపై పడవచ్చు, మరియు ప్రతి లాగ్ ఫైల్ సగం కథ చెబుతుంది. సర్టిఫికెట్ అథారిటీ లోతైన కాపీ. పునరుద్ధరించిన easy-rsa చెట్టు రెండవ సత్య మూలం, మీరు ఇచ్చే ఏ పేరుకైనా చెల్లుబాటు అయ్యే సర్టిఫికెట్ను జారీ చేయగలదు.

క్లయింట్లు కూడా నకలు అవుతాయి, సాధారణంగా మార్పిడి సమయంలోనే. ప్రొఫైల్ను «పరీక్ష కోసం మాత్రమే» అదనపు పరికరానికి కాపీ చేయడం అదే కీ మరియు సాధారణ పేరుతో రెండవ పరికరాన్ని సృష్టిస్తుంది. duplicate-cn ఉంటే రెండు సెషన్లు ఒకేసారి తెరిచి ఉండవచ్చు, మరియు ccd లేదా ifconfig-pool-persist లో స్థిర చిరునామా కేటాయింపు అసలు పరికరంతో ఢీకొట్టవచ్చు. ఇవి ఒకే గుర్తింపు ధరించిన రెండు మెషీన్లు, సర్వర్ కాన్ఫిగరేషన్లో ఏదీ వాటిని వేరు చేయదు.

పాత చివరి పాయింట్ కోసం మూడింటిలో ఒక స్థితిని ఎంచుకోండి

పాత చివరి పాయింట్ గతి నిర్ణయమైన తర్వాతే పునరుద్ధరణ సురక్షితం. విరమించండి: కొత్త హోస్ట్ ప్రారంభం కాకముందే పాత సేవ VPN పోర్టును అంగీకరించడం ఆపాలి, మరియు మెషీన్ను చేరుకోలేకపోతే ఆ పోర్టును నెట్వర్క్ అంచున మీ పరిపాలన మూలం తప్ప అందరికీ నిరోధించండి. అదే హోస్ట్ను మరమ్మతు చేయండి: గుర్తింపును తిరిగి ఉపయోగించడం సరైనది ఎందుకంటే ఒకే మెషీన్ దానిని కలిగి ఉంటుంది, కానీ తర్వాత పాత కీ డిస్క్ కాపీ లేదా VM స్నాప్షాట్ను నాశనం చేయండి, అది తిరిగి రాలేకుండా. లభ్యత జోడిని నిర్మించండి: రెండు హోస్ట్లకు వేర్వేరు హోస్ట్ గుర్తింపులు మరియు ఒక భాగస్వామ్య చివరి పాయింట్ అవసరం, ఉదాహరణకు తేలియాడే చిరునామా, లోడ్ బ్యాలెన్సర్ లేదా మీరు తరలించగల DNS. ప్రైవేట్ కీని కాపీ చేయడం failover డిజైన్ కాదు; ఇది ఒక పేరు కోసం దావా చేసే రెండు సర్వర్లు.

క్లయింట్లను తాకే ముందు మీరు నిజంగా ఏ స్థితిలో ఉన్నారో నిర్ధారించుకోండి. VPN పోర్టులో సమాధానం ఇచ్చే పాత హోస్టే రద్దు చేసిన పరికరాన్ని అంగీకరిస్తుంది, DNS కదిలినా సరే. శ్రోతలు మరియు పబ్లిక్ కీని తనిఖీ చేయండి:

ss -lunp | grep -E ':51820|:1194'
wg show wg0
wg pubkey < /etc/wireguard/server.key

మొదట పీర్లు, రద్దులు మరియు చిరునామాలను సరిపోల్చండి

పునరుద్ధరణ ఏమి క్లెయిమ్ చేస్తుందో ఇప్పుడు అధికారం ఇచ్చిన దానితో పోల్చి జాబితా చేయండి. WireGuardలో wg show wg0 ప్రతి పీర్ కీ, చివరి పాయింట్, చివరి హ్యాండ్షేక్ మరియు బదిలీ కౌంటర్లను ఇస్తుంది, ఇది మీ వద్ద లేని పరికరాన్ని గుర్తించడానికి సరిపోతుంది. wg set wg0 peer <key> remove తో దాన్ని ప్రత్యక్షంగా తొలగించండి, తర్వాత కాన్ఫిగరేషన్ను కూడా సవరించండి, లేకపోతే పీర్ తదుపరి ప్రారంభంలో తిరిగి వస్తుంది. wg show wg0 allowed-ips రెండవ సమస్యను బయటపెడుతుంది: ఒక చిరునామాపై రెండు పీర్లు, లేదా మీరు ఇప్పటికే తిరిగి కేటాయించిన చిరునామా.

OpenVPNలో రద్దు జాబితా తేదీ ఉన్న ఫైల్, పునరుద్ధరణ పాతదాన్ని తిరిగి తీసుకురావచ్చు. క్లయింట్లు కనెక్ట్ అవ్వకముందే దాన్ని తనిఖీ చేయండి:

openssl crl -in /etc/openvpn/crl.pem -noout -lastupdate -nextupdate
grep -E 'crl-verify|reneg-sec' /etc/openvpn/server.conf

చివరి అప్డేట్ రద్దుకు ముందు ఉంటే, సర్వర్ మీరు రద్దు చేసిన సర్టిఫికెట్నే ఇప్పటికీ గౌరవిస్తోంది. OpenVPN 2.4 మరియు తర్వాతవి ప్రతి కొత్త కనెక్షన్కు CRL ఫైల్ను తిరిగి చదువుతాయి, కాబట్టి ఫైల్ను భర్తీ చేయడం కొత్త సెషన్లను ఆపుతుంది, కానీ స్థాపించిన సొరంగాలు తిరిగి చర్చల వరకు కొనసాగుతాయి; reneg-sec యొక్క డిఫాల్ట్ 3600 సెకన్లు, దాన్ని తగ్గించడం లేదా సేవను తిరిగి ప్రారంభించడం ఇప్పుడు మార్పును ఇస్తుంది. పాత బిల్డ్లు ఫైల్ను అంత నమ్మదగిన రీతిలో తీసుకోకపోవచ్చు, కాబట్టి వెర్షన్ ప్రవర్తనను నిర్ధారించలేకపోతే తిరిగి ప్రారంభించండి. wg(8) మాన్యువల్ పైన ఉపయోగించిన పీర్ తొలగింపు మరియు allowed-ips వాక్యనిర్మాణాన్ని కవర్ చేస్తుంది.

ఇప్పుడు లేని పరికరాల స్థిర కేటాయింపులను కూడా శుభ్రం చేయండి. పాత ప్రొఫైల్ ఇంకా ఇన్స్టాల్ ఉన్నప్పుడు విరమించిన పరికర చిరునామాను కొత్తదానికి తిరిగి ఉపయోగించడం మీరు నివారించాలనుకునే నకలునే సృష్టిస్తుంది.

మీరు రద్దు చేసిన క్లయింట్తో ధృవీకరించండి

సొరంగం వెలుపలి నెట్వర్క్ నుండి పరీక్షలను క్రమంగా అమలు చేయండి. మొదట అధికారం ఉన్న పరికరం కనెక్ట్ అవుతుంది, నెట్టబడిన రిజాల్వర్ ద్వారా DNS పరిష్కరించి ప్రైవేట్ వనరును చేరుతుంది. తర్వాత రద్దు చేసిన పరికరం కొత్తదానికి బదులు తన ప్రస్తుత ప్రొఫైల్తో విఫలం కావాలి. ఆ తర్వాత బయటి నుండి పాత చివరి పాయింట్ను ప్రయత్నించండి: VPN పోర్టు ఇంకా హ్యాండ్షేక్ను పూర్తి చేస్తే, పాత హోస్ట్ సజీవంగా ఉంది మరియు నకలు నిజం, సైద్ధాంతికం కాదు.

పునరుద్ధరించిన హోస్ట్ను రీబూట్ చేసి అధికారం ఉన్న మరియు రద్దు చేసిన పరీక్షలను పునరావృతం చేయండి, ఎందుకంటే అప్పుడే కాన్ఫిగరేషన్ ఫైల్ రన్టైమ్లో మీరు మార్చిన దాన్ని ఓడిస్తుంది. హోస్ట్ పబ్లిక్ కీ లేదా సర్టిఫికెట్ వేలిముద్రను విరమించిన మెషీన్ ఉపయోగించిన దానితో పోల్చండి. రెండు సజీవ మెషీన్లపై సరిపోలే వేలిముద్రలు అంటే పునరుద్ధరణ గుర్తింపును క్లోన్ చేసింది; ఒక మెషీన్పై సరిపోలే వేలిముద్రలు సాధారణం. పునరుద్ధరించిన వెర్షన్లు, కీ వేలిముద్రలు మరియు రద్దు చేసిన క్రమ సంఖ్య లేదా పీర్ కీని నమోదు చేసి, ఈ సరిపోలింపు తర్వాత తదుపరి బ్యాకప్ను తీసుకోండి, అది సేవను ఇప్పుడు ఉన్నట్టుగా ప్రాతినిధ్యం వహిస్తుంది. పని చేసే పరీక్ష క్లయింట్ కనెక్ట్ అవ్వడం కాదు. మీరు తొలగించిన క్లయింట్ బయట ఉండటం మరియు పాత చివరి పాయింట్ మూసి ఉండటమే.