VPN serverini kirish izini qoldirmasdan foydalanishdan chiqarish

Sizning mijozingiz foydalanishdan chiqarish chiptasi ochilgan kuni ham ulanadi. Profil ilovada turadi, u muzokara qiladi va tunnel hech narsa o‘zgarmagandek ko‘tariladi. Bu xizmatni qanday qurgan bo‘lsangiz, teskari yo‘nalishda ishlash vaqti: mijozlar ro‘yxatidan boshlang, tashqariga tinglovchiga, so‘ng brandmauerga yuring va ularning barchasidan uzoq yashaydigan hisob ma’lumotlari bilan yakunlang. VMni o‘chirish birinchi emas, oxirgi qadamdir. Ushbu qo‘llanma sizda xost konsoliga kirish va mijoz yozuvlari hamda DNSni tahrirlash vakolati bor deb hisoblaydi.

Avval mijozlar ro‘yxatini ko‘rib chiqing

Profillaringizni tarqatadigan narsani oching va serverga tegishdan oldin ro‘yxatni o‘qing. Har bir yozuv o‘zida kirish bor deb hisoblaydigan qurilma: telefonlar, noutbuklar, filial routeri, har kecha sinxronlanadigan konteyner. O‘sha ro‘yxatni chiptaga eksport qiling, chunki xost yo‘q bo‘lgach, kim ulanganini aytadigan wg show qolmaydi.

Har bir qurilmani almashtirish oxirgi nuqtasi, endi kerak emas yoki noma’lum toifasiga ajrating. Aynan noma’lum toifa muhim, chunki bu profillarni kimdir oylar o‘tib tortmadan topib sinab ko‘radi. Xabarnomani kirish so‘rovlari uchun ishlatadigan kanalingizda yuboring va eski oxirgi nuqta qachon javob bermasligini sanani qo‘ying.

Identifikatsiyani bekor qiling, faqat faylni emas

Ikki xil amal ham bekor qilish deb ataladi. WireGuardda peer faqat o‘zining ochiq kaliti AllowedIPs yozuvi bilan peer bo‘limida ko‘rinishi bilan ruxsat etiladi, shuning uchun noutbukdan konfiguratsiya faylini o‘chirish serverda hech narsani o‘zgartirmaydi. Peer blokini olib tashlang va saqlab qolayotgan peerlaringizni yo‘qotmasdan faylni qayta qo‘llang, wg(8) qo‘llanmasida tasvirlanganidek:

wg show
wg set wg0 peer <CLIENT_PUBLIC_KEY> remove
wg syncconf wg0 <(wg-quick strip wg0)

wg syncconf sizga texnik xizmat oynasini tejaydigan qismdir. U interfeysni joyida fayldan qayta quradi, shuning uchun bitta peerni olib tashlash boshqalar ishlatayotgan tunnelni buzmaydi. Agar bitta peer emas, butun xostni foydalanishdan chiqarsangiz, tartib baribir muhim, chunki bu kalitlarga boshqa joyda ishonishlari mumkin.

X.509 sozlamasida bekor qilish qadami fayl emas, sertifikat: openssl ca -revoke client.crt va keyin openssl ca -gencrl -out crl.pem. Bu faqat tekshiruvchi uni o‘qiydigan joyda ta’sir qiladi, ya’ni OpenVPN serverida crl-verify sozlangan va keyin qayta yuklangan bo‘lishi kerak. Agar bu shlyuz o‘sha CAning yagona iste’molchisi bo‘lsa, CRL u o‘lgan kuni ahamiyatini yo‘qotadi; agar o‘sha CA ikkinchi shlyuz uchun imzo cheksa, siz hech qachon bekor qilmagan sertifikat u yerda ishlashda davom etadi.

Hisoblar uchinchi holat va eng ko‘p o‘tkazib yuboriladigan holat. Shlyuz RADIUS, LDAP yoki boshqariladigan identifikatsiya provayderiga qarshi autentifikatsiya qilgan bo‘lsa, hisob VPN tashqarisida yashaydi. Uni katalogda o‘chirib qo‘ying. Serverda foydalanuvchi bo‘limini o‘chirish almashtirish oxirgi nuqtasi o‘sha katalogga ishora qilgan zahoti qabul qiladigan amaldagi hisob ma’lumotini qoldiradi.

Tinglovchilarni va ularga olib boradigan yo‘llarni yoping

Xizmatni qayta yuklashdan keyin ham saqlanadigan tarzda to‘xtating, so‘ng birlik holati emas, soket ro‘yxati bilan tasdiqlang. systemctl disable --now wg-quick@wg0 interfeysni to‘xtatadi va wg-quick qo‘shgan marshrutlar va qoidalarni olib tashlaydi; systemctl disable --now openvpn-server@server shablonli OpenVPN nusxasi uchun xuddi shunday qiladi. Ikkalasidan keyin ss -lunp va ss -ltnp ni bajaring. Eski port uchun bo‘sh natija hisobga olinadigan yagona dalildir.

wg-quick qo‘shgan narsani wg-quick olib tashlaydi. Qo‘lda qo‘shgan narsangiz qoladi: doimiy NAT qoidasi, brandmauer ruxsati, router port yo‘naltirishi, bulut xavfsizlik guruhining kirish qoidasi, yuk balanslovchi tinglovchisi. Ular aniq olib tashlanishi kerak, DNS yozuvi ham: A, AAAA va nomga ishora qiluvchi har qanday CNAME. O‘lik xostga hal qilinadigan nom hal qilinmaydigan nomdan boshqacha muvaffaqiyatsizlikka uchraydi va bu farq kimgadir bir tushdan keyinni qimmatga tushadi.

Siz unutadigan nusxa — klon. Zaxira nusxadan tiklangan snapshot yoki VM hali ham xost kalitlari va eski peer ro‘yxatini saqlaydi va agar biror narsa uni o‘sha manzilda qaytarsa, mijozlar siz foydalanishdan chiqarilgan deb hisoblagan xizmatga qayta ulanadi. Zaxira to‘plamini foydalanishdan chiqarilgan xizmatga tegishli deb belgilang va avtomatik tiklash yo‘llaridan chetda saqlang.

Hali ham eski oxirgi nuqtaga ishora qiladigan narsalarni kuzatib boring

Keshlangan profillar DNSdan uzoq yashaydi. Raqamli manzilli saqlangan konfiguratsiya yozuv yo‘q bo‘lgandan keyin ham qo‘ng‘iroq qiladi va doim yoqilgan mijoz har bir tarmoq o‘zgarishida qayta urinadi. Bu kirish emas, shovqin, chunki tinglovchi yopiq, ammo qaysi birini ko‘rayotganingizni bilish chiptaga qanday javob berishni hal qiladi.

So‘ng hech kim VPN ostida tasniflamaydigan bog‘liqliklarni ko‘zdan kechiring: portni tekshiradigan uptime tekshiruvlari, xostdan konfiguratsiyalarni olib kelgan zaxira ishlari, peer yozuvlarini yuborish uchun ishlatilgan avtomatlashtirish hisob ma’lumotlari, faqat shu oxirgi nuqta uchun yaratilgan tiklash hisoblari. Har biri o‘z umri va o‘z egasiga ega kirish yo‘li, shuning uchun har biri jimgina o‘chirish emas, qaror talab qiladi.

Tekshiring, so‘ng yozib qo‘ying

Foydalanishdan chiqarish tashqaridan qilingan sinov kutganingizdek muvaffaqiyatsizlikka uchraganda tugallanadi. Siz boshqarmaydigan tarmoqdan eski manzil va portga ulaning. Filtrlangan yoki rad etilgan natija muvaffaqiyatli holat. Mijoz ilovasida profil o‘chirilganini, faqat o‘chirib qo‘yilmaganini va hech qanday boshqaruv profili uni jimgina qayta qo‘shmasligini tasdiqlang.

So‘ng nima qilganingizni yozing: oxirgi nuqta, sana, bekor qilingan kalitlar va sertifikatlar, o‘chirilgan hisoblar, zaxiralar qayerda. Keyingi safar eski konfiguratsiyani topgan kishi bekor qilinganmi yoki shunchaki o‘chirilganmi, taxmin qilmasdan javob berishi kerak va chiptadagi qisqa jadval buni ta’minlaydi.

Chiptani yopishdan oldin:

• Mijoz profillari olib tashlangan yoki almashtirilgan, noma’lum qurilmalar hal qilingan
• Peerlar olib tashlangan va konfiguratsiya qayta qo‘llangan yoki sertifikatlar bekor qilingan va CRL e’lon qilingan
• Katalog hisoblari o‘chirilgan, faqat lokal fayllar o‘chirilmagan
• Xizmat o‘chirilgan, eski portda hech qanday tinglovchi qolmagan
• Brandmauer, port yo‘naltirish, xavfsizlik guruhi va DNS yozuvlari olib tashlangan
• Zaxiralar belgilangan, snapshot tiklash yo‘llaridan chiqarilgan
• Monitoring va avtomatlashtirish hisob ma’lumotlari foydalanishdan chiqarilgan

O‘rinbosarni alohida tekshiring, eski profilni hech qachon saqlamagan mijozdan. Bu bitta sinov xizmatni foydalanishdan chiqardingizmi yoki muammoning shunchaki nomini o‘zgartirdingizmi, shuni aytadi.