Erişim bırakmadan bir VPN sunucusu nasıl kullanımdan kaldırılır

İstemciniz, kullanımdan kaldırma talep fişinin açıldığı gün hâlâ bağlanıyor. Uygulamada bir profil duruyor, o anlaşıyor ve tünel sanki hiçbir şey değişmemiş gibi ayağa kalkıyor. Hizmeti kurduğunuz yönün tam tersine çalışmanız gereken an işte o andır: istemci listesinden başlayın, dışarı doğru dinleyiciye, ardından güvenlik duvarına gidin ve hepsinden uzun yaşayacak kimlik bilgileriyle bitirin. VM'i kapatmak ilk adım değil, son adımdır. Bu kılavuz, ana makinenin konsoluna erişiminiz ve istemci kayıtlarını ve DNS'i düzenleme yetkiniz olduğunu varsayar.

Önce istemci listesini gezin

Profillerinizi dağıtan ne varsa açın ve sunucuya dokunmadan önce listeyi okuyun. Her kayıt, erişimi olduğuna inanan bir aygıttır: telefonlar, dizüstü bilgisayarlar, bir şube yönlendiricisi, her gece eşitlenen bir konteyner. O listeyi fişe aktarın, çünkü ana makine gittikten sonra kimin bağlı olduğunu size söyleyecek bir wg show yoktur.

Her aygıtı yedek uç nokta, artık gerekmiyor veya bilinmiyor olarak ayırın. Önemli olan bilinmeyenler kovasıdır, çünkü aylar sonra birinin çekmecede bulup deneyeceği profiller onlardır. Bildirimi erişim talepleri için kullandığınız kanaldan gönderin ve içine eski uç noktanın yanıt vermeyi bırakacağı tarihi koyun.

Kimliği iptal edin, yalnızca dosyayı değil

İki farklı eyleme de iptal denir. WireGuard'da bir peer yalnızca açık anahtarının AllowedIPs girdisi olan bir peer bölümünde görünmesiyle yetkilendirilir, bu yüzden yapılandırma dosyasını dizüstü bilgisayardan silmek sunucuda hiçbir şeyi değiştirmez. Peer bloğunu kaldırın ve tuttuğunuz peer'ları düşürmeden dosyayı yeniden uygulayın, tıpkıwg(8) açıkladığı gibi:

wg show
wg set wg0 peer <CLIENT_PUBLIC_KEY> remove
wg syncconf wg0 <(wg-quick strip wg0)

wg syncconf size bir bakım penceresi kazandıran kısımdır. Arayüzü dosyadan yerinde yeniden kurar, böylece bir peer'ı kaldırmak herkesin kullandığı tüneli yıkmaz. Bir peer yerine ana makinenin tamamını kullanımdan kaldırıyorsanız sıra hâlâ önemlidir, çünkü o anahtarlar başka bir yerde güveniliyor olabilir.

X.509 kurulumunda iptal adımı dosya değil sertifikadır: openssl ca -revoke client.crt ve ardından openssl ca -gencrl -out crl.pem. Bu yalnızca doğrulayıcının onu okuduğu yerde etki eder, yaniOpenVPN crl-verify yapılandırılmış ve ardından yeniden yüklenmiş bir sunucu. Bu geçit o CA'nın tek tüketicisiyse, CRL öldüğü gün önemini yitirir; aynı CA ikinci bir geçit için imzalıyorsa, hiç iptal etmediğiniz bir sertifika orada çalışmaya devam eder.

Hesaplar üçüncü durumdur ve en sık atlanan durumdur. Geçit RADIUS, LDAP veya barındırılan bir kimlik sağlayıcısıyla kimlik doğruladığında hesap VPN'in dışında yaşar. Dizinde devre dışı bırakın. Sunucudaki bir kullanıcı bölümünü silmek, yedek uç noktanın aynı dizini gösterdiği anda kabul edeceği geçerli bir kimlik bilgisi bırakır.

Dinleyicileri ve onlara giden yolları kapatın

Hizmeti yeniden başlatmaya dayanacak şekilde durdurun, ardından birimin durumu yerine soket listesiyle doğrulayın. systemctl disable --now wg-quick@wg0 arayüzü durdurur ve wg-quick'in eklediği rotaları ve kuralları kaldırır; systemctl disable --now openvpn-server@server şablonlu bir OpenVPN örneği için aynısını yapar. Herhangi birinin ardından ss -lunp ve ss -ltnp çalıştırın. Eski bağlantı noktası için boş sonuç, sayılan tek kanıttır.

wg-quick ne eklediyse wg-quick onu kaldırır. Elle ekledikleriniz kalır: kalıcı bir NAT kuralı, güvenlik duvarında bir izin, yönlendiricide bir bağlantı noktası yönlendirmesi, bulut güvenlik grubunda bir ingress kuralı, bir yük dengeleyici dinleyicisi. Bunlar açıkça kaldırılmalıdır, DNS kaydı da öyle, yani A, AAAA ve adı gösteren herhangi bir CNAME. Ölü bir ana makineye çözülen ad, hiç çözülmeyen addan farklı biçimde başarısız olur ve bu fark birine bir öğleden sonraya mal olur.

Unuttuğunuz kopya klondur. Yedekten geri yüklenen bir anlık görüntü veya VM hâlâ ana makine anahtarlarını ve eski peer listesini tutar, ve herhangi bir şey onu aynı adrese geri getirirse istemciler kullanımdan kaldırdığınızı düşündüğünüz bir hizmete yeniden bağlanır. Yedek kümesini kullanımdan kaldırılmış bir hizmete ait olarak etiketleyin ve otomatik geri yükleme yollarının dışında tutun.

Hâlâ eski uç noktayı gösterenin peşine düşün

Önbelleğe alınmış profiller DNS'ten uzun yaşar. Sayısal adresli kaydedilmiş bir yapılandırma, kayıt gittikten sonra da aramaya devam eder ve her zaman açık bir istemci her ağ değişiminde yeniden dener. Bu, dinleyici kapalı olduğu için erişim değil gürültüdür, ama hangisine baktığınızı bilmek fişe nasıl yanıt vereceğinizi belirler.

Sonra kimsenin VPN altında kaydetmediği bağımlılıkları tarayın: bağlantı noktasını yoklayan çalışırlık denetimleri, ana makineden yapılandırma çeken yedekleme işleri, peer girdilerini itmek için kullanılan otomasyon kimlik bilgileri, yalnızca bu uç nokta için oluşturulmuş kurtarma hesapları. Her biri kendi ömrü ve kendi sahibi olan bir erişim yoludur, bu yüzden her biri sessiz bir silme yerine bir karar alır.

Doğrulayın, sonra yazın

Kullanımdan kaldırma, dışarıdan yapılan bir test tam beklediğiniz gibi başarısız olduğunda biter. Kontrol etmediğiniz bir ağdan eski adrese ve bağlantı noktasına bağlanın. Filtrelenmiş veya reddedilmiş bir sonuç başarı durumudur. İstemci uygulamasında profilin kapatılmadığını, kaldırıldığını ve hiçbir yönetim profilinin onu sessizce geri eklemediğini doğrulayın.

Sonra ne yaptığınızı kaydedin: uç nokta, tarih, iptal edilen anahtarlar ve sertifikalar, devre dışı bırakılan hesaplar, yedeklerin nerede durduğu. Bir dahaki sefere eski bir yapılandırma bulan kişi, tahmin etmeden iptal mi edildi yoksa yalnızca silindi mi diye yanıtlamalıdır ve fişteki kısa bir tablo bunu sağlar.

Fişi kapatmadan önce:

• istemci profilleri kaldırıldı veya değiştirildi, bilinmeyen aygıtlar çözüldü
• peer'lar kaldırıldı ve yapılandırma yeniden uygulandı ya da sertifikalar iptal edildi ve CRL yayımlandı
• dizin hesapları devre dışı bırakıldı, yalnızca yerel dosyalar silinmedi
• hizmet devre dışı, eski bağlantı noktasında dinleyici kalmadı
• güvenlik duvarı, bağlantı noktası yönlendirmesi, güvenlik grubu ve DNS kayıtları kaldırıldı
• yedekler etiketlendi, anlık görüntü geri yükleme yollarından çıkarıldı
• izleme ve otomasyon kimlik bilgileri kullanımdan kaldırıldı

Yerine geçeni ayrıca doğrulayın, eski profili hiç taşımamış bir istemciden. Bu tek test, bir hizmeti mi kullanımdan kaldırdığınızı yoksa sorunu yalnızca yeniden mi adlandırdığınızı söyler.