Cách ngừng sử dụng máy chủ VPN mà không để lại quyền truy cập

Máy khách của bạn vẫn kết nối vào đúng ngày phiếu ngừng sử dụng được mở. Một hồ sơ nằm trong ứng dụng, nó thương lượng, và đường hầm dựng lên như thể không có gì thay đổi. Đó là lúc phải làm việc theo hướng ngược lại với cách bạn dựng dịch vụ: bắt đầu từ danh sách máy khách, đi ra ngoài tới cổng lắng nghe, rồi tới tường lửa, và kết thúc bằng những thông tin xác thực sống lâu hơn tất cả. Tắt máy ảo là bước cuối cùng, không phải bước đầu. Hướng dẫn này giả định bạn có quyền truy cập bảng điều khiển của máy chủ và thẩm quyền sửa hồ sơ máy khách cùng DNS.

Đi qua danh sách máy khách trước

Mở bất cứ thứ gì phân phối hồ sơ của bạn và đọc danh sách trước khi chạm vào máy chủ. Mỗi mục là một thiết bị tin rằng nó có quyền truy cập: điện thoại, máy tính xách tay, một router chi nhánh, một container đồng bộ hằng đêm. Xuất danh sách đó vào phiếu, vì khi máy chủ không còn, không có wg show để cho bạn biết ai đã kết nối.

Phân loại từng thiết bị thành điểm cuối thay thế, không còn cần, hoặc không rõ. Nhóm không rõ mới là nhóm quan trọng, vì đó là những hồ sơ mà ai đó sẽ tìm thấy trong ngăn kéo vài tháng nữa và thử. Gửi thông báo trên cùng kênh bạn dùng cho yêu cầu truy cập, và ghi ngày mà điểm cuối cũ ngừng trả lời.

Thu hồi danh tính, không chỉ tệp

Hai hành động khác nhau đều được gọi là thu hồi. Trên WireGuard, một peer chỉ được cấp quyền khi khóa công khai của nó xuất hiện trong một mục peer với một mục AllowedIPs, nên xóa tệp cấu hình khỏi máy tính xách tay không thay đổi gì trên máy chủ. Xóa khối peer và áp dụng lại tệp mà không làm rơi những peer bạn giữ lại, như wg(8) mô tả:

wg show
wg set wg0 peer <CLIENT_PUBLIC_KEY> remove
wg syncconf wg0 <(wg-quick strip wg0)

wg syncconf là phần giúp bạn tiết kiệm một cửa sổ bảo trì. Nó dựng lại giao diện từ tệp ngay tại chỗ, nên gỡ một peer không kéo sập đường hầm mà những người khác đang dùng. Nếu bạn ngừng sử dụng cả máy chủ chứ không phải một peer, thứ tự vẫn quan trọng, vì những khóa đó có thể được tin cậy ở nơi khác.

Với thiết lập X.509, bước thu hồi là chứng chỉ, không phải tệp: openssl ca -revoke client.crt và sau đó openssl ca -gencrl -out crl.pem. Điều đó chỉ có tác dụng ở nơi trình xác minh đọc nó, nghĩa là một OpenVPN với crl-verify được cấu hình và tải lại sau đó. Nếu cổng này là nơi tiêu thụ duy nhất của CA đó, CRL hết quan trọng vào ngày nó chết; nếu cùng CA đó ký cho cổng thứ hai, một chứng chỉ bạn chưa bao giờ thu hồi vẫn tiếp tục hoạt động ở đó.

Tài khoản là trường hợp thứ ba và là trường hợp bị bỏ qua nhiều nhất. Khi cổng xác thực với RADIUS, LDAP hoặc một nhà cung cấp danh tính thuê ngoài, tài khoản sống bên ngoài VPN. Hãy vô hiệu hóa nó trong thư mục. Xóa một mục người dùng trên máy chủ để lại một thông tin xác thực hợp lệ mà điểm cuối thay thế sẽ chấp nhận ngay khi nó trỏ tới cùng thư mục.

Đóng cổng lắng nghe và các đường dẫn tới chúng

Dừng dịch vụ theo cách sống sót qua lần khởi động lại, rồi xác nhận bằng danh sách socket chứ không phải trạng thái unit. systemctl disable --now wg-quick@wg0 dừng giao diện và gỡ các tuyến cùng quy tắc mà wg-quick đã thêm; systemctl disable --now openvpn-server@server làm điều tương tự cho một phiên bản OpenVPN theo mẫu. Theo sau mỗi lệnh bằng ss -lunp và ss -ltnp. Kết quả rỗng cho cổng cũ là bằng chứng duy nhất đáng tin.

Những gì wg-quick thêm, wg-quick gỡ. Những gì bạn thêm bằng tay vẫn ở lại: một quy tắc NAT thường trú, một luật cho phép của tường lửa, một chuyển tiếp cổng trên router, một luật vào của nhóm bảo mật trên đám mây, một cổng lắng nghe của bộ cân bằng tải. Những thứ đó cần được gỡ rõ ràng, và bản ghi DNS cũng vậy, nghĩa là A, AAAA và mọi CNAME trỏ tới tên đó. Một tên phân giải tới máy chủ đã chết thất bại khác với một tên không phân giải, và sự khác biệt đó sẽ khiến ai đó mất một buổi chiều.

Bản sao bạn quên chính là bản clone. Một snapshot hoặc một máy ảo được khôi phục từ sao lưu vẫn giữ khóa máy chủ và danh sách peer cũ, và nếu có gì đưa nó trở lại cùng địa chỉ, máy khách sẽ kết nối lại với một dịch vụ mà bạn tưởng đã ngừng. Dán nhãn bộ sao lưu là thuộc về một dịch vụ đã ngừng và giữ nó ngoài các đường khôi phục tự động.

Truy những gì còn trỏ tới điểm cuối cũ

Hồ sơ được lưu đệm sống lâu hơn DNS. Một cấu hình đã lưu với địa chỉ số vẫn tiếp tục quay số sau khi bản ghi biến mất, và một máy khách luôn bật sẽ thử lại mỗi lần mạng thay đổi. Đó là nhiễu chứ không phải truy cập, vì cổng lắng nghe đã đóng, nhưng biết mình đang nhìn thấy cái nào sẽ quyết định cách bạn trả lời phiếu.

Sau đó quét những phụ thuộc mà không ai xếp vào mục VPN: các bài kiểm tra uptime dò cổng, công việc sao lưu lấy cấu hình từ máy chủ, thông tin xác thực tự động hóa dùng để đẩy mục peer, tài khoản khôi phục tạo riêng cho điểm cuối này. Mỗi thứ là một đường truy cập với vòng đời riêng và chủ sở hữu riêng, nên mỗi thứ cần một quyết định thay vì bị xóa âm thầm.

Xác minh, rồi ghi lại

Việc ngừng sử dụng hoàn tất khi một bài kiểm tra từ bên ngoài thất bại đúng như bạn mong đợi. Từ một mạng bạn không kiểm soát, hãy kết nối tới địa chỉ và cổng cũ. Kết quả bị lọc hoặc bị từ chối là trường hợp thành công. Trong ứng dụng khách, xác nhận hồ sơ đã bị gỡ chứ không phải bị tắt, và không có hồ sơ quản lý nào âm thầm thêm nó trở lại.

Sau đó ghi lại những gì bạn đã làm: điểm cuối, ngày, khóa và chứng chỉ đã thu hồi, tài khoản đã vô hiệu hóa, bản sao lưu nằm ở đâu. Người tiếp theo tìm thấy một cấu hình cũ cần trả lời nó đã bị thu hồi hay chỉ bị xóa, không đoán mò, và một bảng ngắn trong phiếu làm được điều đó.

Trước khi đóng phiếu:

• Hồ sơ máy khách đã gỡ hoặc thay thế, thiết bị không rõ đã được xử lý
• Peer đã gỡ và cấu hình được áp dụng lại, hoặc chứng chỉ đã thu hồi và CRL đã công bố
• Tài khoản thư mục đã vô hiệu hóa, không chỉ xóa tệp cục bộ
• Dịch vụ đã tắt, không còn cổng lắng nghe trên cổng cũ
• Tường lửa, chuyển tiếp cổng, nhóm bảo mật và bản ghi DNS đã gỡ
• Sao lưu đã dán nhãn, snapshot bị loại khỏi các đường khôi phục
• Thông tin xác thực giám sát và tự động hóa đã ngừng

Xác minh bản thay thế riêng, từ một máy khách chưa bao giờ giữ hồ sơ cũ. Bài kiểm tra duy nhất đó cho bạn biết liệu bạn đã ngừng một dịch vụ hay chỉ đổi tên vấn đề.