Paano ipanumbalik ang VPN server nang hindi dinodoble ang mga pagkakakilanlan

Naipanumbalik mo ang backup, nagsimula ang serbisyo, at kumonekta ang isang kliyente sa unang pagsubok. Ang tagumpay na iyon ang bitag. Ang pagpapanumbalik ay nagbabalik ng mga file na mayroon ang server sa sandali ng snapshot, hindi ang kalagayan ng access na nagbago mula noon, at kung naaabot pa ang lumang endpoint mayroon ka na ngayong dalawang makinang sumasagot sa isang pagkakakilanlan. Ang solusyon ay hindi mas mahusay na backup; ito ay pagpapasya kung ano ang maaaring maging ang naipanumbalik na host bago ito sumagot sa kahit isang handshake.

Ang backup ay nagbabalik ng mga file, hindi awtoridad

Naglalaman ang snapshot ng configuration ng server, mga pribadong susi, awtoridad ng sertipiko, listahan ng kapares at mga tuntunin ng firewall gaya ng mga ito noong tumakbo ang backup. Hindi nito maaaring taglayin ang nagbago pagkatapos: ang device na binawi mo, ang susi na muling inilabas, ang kapares na tinanggal mo nang ibenta ang laptop, ang subnet na inilipat mo. Ibinabalik ng pagpapanumbalik ang mga file sa sandaling iyon. Hindi nito ibinabalik ang mga desisyong ginawa ng mga tao mula noon.

Ang pinsala ay nagmumula mismo sa puwang na iyon. Ang ninakaw na laptop na binawi dalawang linggo pagkatapos ng backup ay nagpapakita ng sertipikong nagpapatunay pa rin laban sa lumang CRL sa naipanumbalik na puno, at tinatanggap ng server ang device na inalis mo sa serbisyo. Ang WireGuard ay mas tuwiran: ang kapares ay awtorisado sa pamamagitan ng pagkakalista, kaya ang kapares na tinanggal pagkatapos ng snapshot ay naroon muli. Walang muling nag-apruba sa access na iyon. Ginawa iyon ng lumang file.

Ang pagkakakilanlan ng server at ng kliyente ay nabibigo sa magkaibang paraan

Sa WireGuard ang pagkakakilanlan ng server ay ang pribadong susi sa wg0.conf, kaya ang pagkopya ng file na iyon sa pangalawang naaabot na host ay lumilikha ng dalawang serber na may parehong pagkakakilanlan at hindi magkakilala. Bawat isa ay nagtatago ng sariling listahan ng kapares. Alisin ang isang kapares sa bagong host at tinatanggap pa rin ito ng luma; tingnan ang wg show sa isa at makikita mo ang kalahati ng katotohanan. Hindi rin lumilipat nang kusa ang mga kliyente: may dalang isang Endpoint ang profile, kaya patuloy na nakikipag-usap ang device sa address kung saan ito na-configure, na maaaring ang host na gusto mong alisin sa serbisyo.

OpenVPN ay dumodoble sa parehong sapin sa pamamagitan ng sertipiko ng server, pribadong susi nito at ang static na susi na tls-auth o tls-crypt. Kopyahin ang tatlo at hindi kayang ihiwalay ng kliyente ang mga instance; kung pareho silang naaabot, maaaring mapunta ang muling pagkonekta sa alinman, at ang bawat log file ay nagkukuwento ng kalahati. Ang awtoridad ng sertipiko ang mas malalim na kopya. Ang naipanumbalik na puno ng easy-rsa ay pangalawang pinagmumulan ng katotohanan na maaaring maglabas ng wastong sertipiko para sa anumang pangalang ibigay mo.

Dumodoble rin ang mga kliyente, kadalasan sa mismong migrasyon. Ang pagkopya ng profile sa ekstrang device «para subukan lang» ay lumilikha ng pangalawang device na may parehong susi at parehong karaniwang pangalan. Sa duplicate-cn maaaring manatiling buhay ang dalawang session nang sabay, at ang static na pagtatalaga ng address sa ccd o ifconfig-pool-persist ay maaaring bumangga sa orihinal na device. Ito ay dalawang makinang nakasuot ng isang pagkakakilanlan, at walang anuman sa configuration ng server ang nag-iiba sa kanila.

Pumili ng isa sa tatlong kalagayan para sa lumang endpoint

Ang pagpapanumbalik ay ligtas lamang kapag napagpasyahan na ang kapalaran ng lumang endpoint. Alisin sa serbisyo: dapat ihinto ng lumang serbisyo ang pagtanggap sa port ng VPN bago magsimula ang bagong host, at kung hindi mo maabot ang makina, harangin ang port na iyon sa gilid ng network para sa lahat maliban sa iyong administratibong pinagmulan. Ayusin ang parehong host: maayos ang muling paggamit ng pagkakakilanlan dahil isang makina ang humahawak nito, ngunit pagkatapos sirain ang kopya sa disk o snapshot ng VM ng lumang susi upang hindi na ito makabalik. Bumuo ng pares ng kakayahang makamit: kailangan ng dalawang host ng magkaibang pagkakakilanlan ng host at isang pinagsasaluhang endpoint, gaya ng lumulutang na address, load balancer o DNS na maaari mong ilipat. Ang pagkopya ng pribadong susi ay hindi disenyo ng failover; ito ay dalawang serber na umaangkin sa isang pangalan.

Tiyakin kung anong kalagayan talaga ang kinalalagyan mo bago hawakan ang mga kliyente. Ang lumang host na sumasagot sa port ng VPN ang siyang tatanggap sa binawing device, kahit lumipat na ang DNS. Suriin ang mga tagapakinig at ang pampublikong susi:

ss -lunp | grep -E ':51820|:1194'
wg show wg0
wg pubkey < /etc/wireguard/server.key

Itugma muna ang mga kapares, pagbawi at address

Ilahad kung ano ang inaangkin ng pagpapanumbalik laban sa kung ano ang awtorisado ngayon. Sa WireGuard ang wg show wg0 ay nagbibigay ng susi, endpoint, huling handshake at mga counter ng paglipat ng bawat kapares, sapat upang mapansin ang device na wala ka nang pagmamay-ari. Alisin ito nang live gamit ang wg set wg0 peer <key> remove, pagkatapos i-edit din ang configuration, kung hindi ay babalik ang kapares sa susunod na pagsisimula. Ang wg show wg0 allowed-ips ay naglalantad ng pangalawang problema: dalawang kapares sa isang address, o address na muling itinalaga mo na.

Sa OpenVPN ang listahan ng pagbawi ay file na may petsa, at ang pagpapanumbalik ay maaaring magbalik ng luma. Suriin ito bago kumonekta ang mga kliyente:

openssl crl -in /etc/openvpn/crl.pem -noout -lastupdate -nextupdate
grep -E 'crl-verify|reneg-sec' /etc/openvpn/server.conf

Kung ang huling update ay nauuna sa pagbawi, ginagalang pa rin ng server ang sertipikong binawi mo. Ang OpenVPN 2.4 at mas bago ay muling nagbabasa ng file ng CRL sa bawat bagong koneksyon, kaya ang pagpapalit ng file ay humihinto sa mga bagong session, ngunit ang mga naitatag na tunnel ay nananatili hanggang sa muling pag-uusap; ang default ng reneg-sec ay 3600 segundo, at ang pagbaba nito o muling pagsisimula ng serbisyo ang nagbibigay sa iyo ng pagbabago ngayon. Maaaring hindi gaanong maaasahan ang pagkuha ng mas lumang build sa file, kaya mag-restart kapag hindi mo makumpirma ang pag-uugali ng bersyon. Sinasaklaw ng manwal ng wg(8) ang pag-alis ng kapares at ang sintaks na allowed-ips na ginamit sa itaas.

Linisin din ang mga static na pagtatalaga para sa mga device na wala na. Ang muling paggamit ng address ng retiradong device para sa bago habang naka-install pa ang lumang profile ay lumilikha ng eksaktong doble na sinusubukan mong iwasan.

Beripikahin gamit ang kliyenteng binawi mo

Patakbuhin ang mga pagsusuri nang sunud-sunod, mula sa network sa labas ng tunnel. Una kumokonekta ang awtorisadong device, nilulutas ang DNS sa pamamagitan ng itinulak na resolver at naaabot ang pribadong mapagkukunan. Pagkatapos ay dapat mabigo ang binawing device, gamit ang dati nitong profile hindi bago. Pagkatapos subukan ang lumang endpoint mula sa labas: kung nakakumpleto pa rin ng handshake ang port ng VPN, buhay ang lumang host at totoo ang pagdodoble, hindi teoretikal.

I-reboot ang naipanumbalik na host at ulitin ang mga pagsusuring awtorisado at binawi, dahil iyon ang sandaling nananaig ang configuration file sa binago mo habang tumatakbo. Ihambing ang pampublikong susi o fingerprint ng sertipiko ng host sa ginamit ng retiradong makina. Ang magkatugmang fingerprint sa dalawang buhay na makina ay nangangahulugang kinlona ng pagpapanumbalik ang pagkakakilanlan; ang magkatugmang fingerprint sa isang makina ay normal. Itala ang mga naipanumbalik na bersyon, fingerprint ng susi at ang binawing serial number o susi ng kapares, pagkatapos kunin ang susunod na backup pagkatapos ng pagtutugmang ito, upang katawanin nito ang serbisyo gaya ngayon. Ang gumaganang pagsubok ay hindi ang pagkonekta ng kliyente. Ito ay ang kliyenteng inalis mo ay nananatili sa labas habang ang lumang endpoint ay nananatiling sarado.