Paano ititigil ang isang VPN server nang hindi nag-iiwan ng daan

Kumokonekta pa rin ang kliyente mo sa araw na bubuksan ang tiket ng pagtigil. May profile na nakaupo sa app, nakikipag-usap ito, at bumabangon ang tunnel na parang walang nagbago. Iyon ang sandaling dapat kang gumalaw sa kabaligtaran ng paraan ng pagbuo mo ng serbisyo: magsimula sa listahan ng kliyente, lumabas patungo sa tagapakinig, pagkatapos sa firewall, at tapusin sa mga kredensyal na mas matagal pa sa lahat ng iyon. Ang pagpatay sa VM ang huling hakbang, hindi ang una. Ipinapalagay ng gabay na ito na may access ka sa console ng host at awtoridad na i-edit ang mga talaan ng kliyente at DNS.

Unahin ang listahan ng kliyente

Buksan ang anumang namamahagi ng mga profile mo at basahin ang listahan bago mo galawin ang server. Bawat entry ay isang device na nag-aakalang may access ito: mga telepono, laptop, router ng sangay, container na nagsi-sync gabi-gabi. I-export ang listahang iyon sa tiket, dahil kapag wala na ang host ay walang wg show na magsasabi kung sino ang nakakonekta.

Pagsama-samahin ang bawat device sa kapalit na endpoint, hindi na kailangan, o hindi alam. Ang basket ng hindi alam ang mahalaga, dahil iyon ang mga profile na mahahanap ng isang tao sa drawer makalipas ang ilang buwan at susubukan. Ipadala ang abiso sa parehong channel na ginagamit mo para sa mga kahilingan ng access, at ilagay dito ang petsa kung kailan titigil ang lumang endpoint sa pagsagot.

Bawiin ang pagkakakilanlan, hindi lang ang file

Dalawang magkaibang aksyon ang parehong tinatawag na pagbawi. Sa WireGuard, ang isang peer ay pinapayagan lamang kapag lumitaw ang pampublikong susi nito sa isang seksyong peer na may entry na AllowedIPs, kaya ang pagbura ng config file mula sa laptop ay walang binabago sa server. Alisin ang bloke ng peer at ilapat muli ang file nang hindi binibitawan ang mga peer na iniingatan mo, ayon sawg(8) inilalarawan:

wg show
wg set wg0 peer <CLIENT_PUBLIC_KEY> remove
wg syncconf wg0 <(wg-quick strip wg0)

wg syncconf ang bahaging nagtitipid sa iyo ng isang maintenance window. Itinayo muli nito ang interface mula sa file sa mismong lugar, kaya ang pag-alis ng isang peer ay hindi nagpaputol sa tunnel na ginagamit ng lahat ng iba. Kung ipinatitigil mo ang buong host sa halip na isang peer, mahalaga pa rin ang pagkakasunod-sunod, dahil maaaring pagkakatiwalaan ang mga susing iyon sa ibang lugar.

Sa isang setup na X.509, ang hakbang ng pagbawi ay ang sertipiko, hindi ang file: openssl ca -revoke client.crt at pagkatapos ay openssl ca -gencrl -out crl.pem. May epekto lamang ito kung saan binabasa ito ng verifier, na ang ibig sabihin ayOpenVPN server na may crl-verify na naka-configure at muling na-load pagkatapos. Kung ang gateway na ito ang tanging konsumer ng CA na iyon, hindi na mahalaga ang CRL sa araw na mamatay ito; kung ang parehong CA ay pumipirma para sa ikalawang gateway, ang sertipikong hindi mo kailanman binawi ay gumagana pa rin doon.

Ang mga account ang ikatlong kaso at ang pinakamadalas na nilalaktawan. Nang mag-authenticate ang gateway sa RADIUS, LDAP o isang naka-host na tagapagbigay ng pagkakakilanlan, nabubuhay ang account sa labas ng VPN. I-disable ito sa direktoryo. Ang pagbura ng isang user stanza sa server ay nag-iiwan ng wastong kredensyal na tatanggapin ng kapalit na endpoint sa sandaling tumuro ito sa parehong direktoryo.

Isara ang mga tagapakinig at ang mga daan patungo sa kanila

Itigil ang serbisyo sa paraang makakaligtas sa isang reboot, pagkatapos patunayan gamit ang listahan ng socket sa halip na ang kalagayan ng unit. systemctl disable --now wg-quick@wg0 ay itinitigil ang interface at inaalis ang mga ruta at patakarang idinagdag ng wg-quick; systemctl disable --now openvpn-server@server ay ganoon din para sa isang naka-template na instance ng OpenVPN. Sundan ang alinman sa kanila ng ss -lunp at ss -ltnp. Ang walang laman na resulta para sa lumang port ang tanging patunay na binibilang.

Ang idinagdag ng wg-quick, inaalis ng wg-quick. Ang idinagdag mo nang kamay ay nananatili: isang palagiang tuntuning NAT, isang pahintulot sa firewall, isang port-forward sa router, isang tuntuning ingress sa isang cloud security group, isang tagapakinig ng load balancer. Kailangan nilang tanggalin nang tahasan, gayon din ang talaan ng DNS, ibig sabihin ang A, ang AAAA at anumang CNAME na tumuturo sa pangalan. Ang pangalang nagre-resolve sa isang patay na host ay nabigo nang iba kaysa sa pangalang hindi nagre-resolve, at ang pagkakaibang iyon ay magpapagastos ng isang hapon sa isang tao.

Ang kopyang nalilimutan mo ay ang clone. Ang snapshot o VM na naibalik mula sa backup ay hawak pa rin ang mga susi ng host at ang lumang listahan ng peer, at kung may magbalik nito sa parehong address, muling kumokonekta ang mga kliyente sa serbisyong inaakala mong itinigil na. Lagyan ng label ang set ng backup bilang pag-aari ng isang na-decommission na serbisyo at ilayo ito sa mga awtomatikong daan ng pagbalik.

Habulin ang tumuturo pa rin sa lumang endpoint

Nabubuhay ang mga naka-cache na profile nang mas matagal kaysa sa DNS. Ang naka-save na config na may numerikong address ay patuloy na tumatawag pagkatapos mawala ang talaan, at ang kliyenteng laging bukas ay muling sumusubok sa bawat pagbabago ng network. Ingay iyon, hindi access, dahil sarado ang tagapakinig, ngunit ang pag-alam kung alin ang tinitignan mo ang nagtatakda kung paano mo sasagutin ang tiket.

Pagkatapos walisin ang mga dependency na walang naglalagay sa ilalim ng VPN: mga pagsusuring uptime na nagtutusok sa port, mga trabahong backup na humihila ng config mula sa host, mga kredensyal ng automation na ginamit para itulak ang mga entry ng peer, mga account ng pagbawi na ginawa para sa endpoint na ito lamang. Ang bawat isa ay daan ng access na may sariling haba ng buhay at sariling may-ari, kaya bawat isa ay tumatanggap ng desisyon sa halip na tahimik na pagbura.

Patunayan, pagkatapos isulat

Tapos ang pagtigil kapag ang isang pagsubok mula sa labas ay nabigo sa paraang inaasahan mo. Mula sa isang network na hindi mo kontrolado, kumonekta sa lumang address at port. Ang nasala o tinanggihang resulta ang kaso ng tagumpay. Sa app ng kliyente, patunayan na inalis ang profile sa halip na pinatay, at walang profile ng pamamahala ang tahimik na nagbabalik nito.

Pagkatapos itala ang ginawa mo: endpoint, petsa, mga susi at sertipikong binawi, mga account na disable, kung saan naroon ang mga backup. Ang susunod na makakahanap ng lumang config ay kailangang sumagot kung binawi o binura lang ito, nang walang hula, at isang maikling talahanayan sa tiket ang gumagawa niyon.

Bago isara ang tiket:

• inalis o pinalitan ang mga profile ng kliyente, nalutas ang mga hindi kilalang device
• inalis ang mga peer at nailapat muli ang config, o binawi ang mga sertipiko at nailathala ang CRL
• na-disable ang mga account sa direktoryo, hindi lang binura ang mga lokal na file
• na-disable ang serbisyo, walang tagapakinig na naiwan sa lumang port
• inalis ang firewall, port forward, security group at mga talaan ng DNS
• nilagyan ng label ang mga backup, inalis ang snapshot sa mga daan ng pagbalik
• itinigil ang mga kredensyal ng monitoring at automation

Patunayan nang hiwalay ang kapalit, mula sa kliyenteng kailanman ay hindi naghawak ng lumang profile. Ang nag-iisang pagsubok na iyon ay magsasabi kung itinigil mo ang isang serbisyo o pinangalanan mo lang muli ang problema.