Bí a ṣe lè dá olùpín VPN padà láì ṣe àdúà ìdánimọ̀

O dá àpamọ́ padà, iṣẹ́ bẹ̀rẹ̀, ẹ̀rọ ìsọ̀rọ̀ kan sì so mọ́ ní ìgbìyànjú àkọ́kọ́. Àṣeyọrí yẹn ni túnnú náà. Ìdápada ń dá àwọn fáìlì tí olùpín ní ní àkókò àwòrán padà, kì í ṣe ipò àǹfààní tí ó ti yí padà láti ìgbà yẹn, àti pé bí ibi ìparí àtijọ́ bá ṣì wà ní àràádọ́, ní báyìí ẹ̀rọ méjì ń dáhùn ìdánimọ̀ kan. Ojútùú kì í ṣe àpamọ́ tí ó dára jù; ojútùú ni láti pinnu ohun tí olùgba tí a dá padà lè jẹ́ kí ó tó dáhùn ìfọwọ́bá kan pàápàá.

Àpamọ́ ń dá àwọn fáìlì padà, kì í ṣe àṣẹ

Àwòrán ní ìṣètò olùpín, àwọn kọ́kọ́rọ́ àdámọ́, ilé-ìṣẹ́ ẹ̀rí, àkọsílẹ̀ ẹlẹgbẹ́ àti àwọn òfin odi iná gẹ́gẹ́ bí wọ́n ṣe wà nígbà tí àpamọ́ ń ṣiṣẹ́. Kò lè ní ohun tí ó yí padà lẹ́yìn náà: ẹ̀rọ tí o fagilé, kọ́kọ́rọ́ tí o tún gbé jáde, ẹlẹgbẹ́ tí o yọ kuro nígbà tí wọ́n ta kọ̀mpútà àgbékúrò, ẹ̀wọ̀n abẹ́lẹ̀ tí o gbé lọ. Ìdápada ń dá àwọn fáìlì padà sí àkókò yẹn. Kò dá àwọn ìpinnu tí àwọn ènìyàn ṣe lẹ́yìn náà padà.

Ìbàjẹ́ ń wá láti inú àlàfo yẹn gan-an. Kọ̀mpútà àgbékúrò tí wọ́n jí tí a fagilé ní ọ̀sẹ̀ méjì lẹ́yìn àpamọ́ ń fi ẹ̀rí hàn tí ó ṣì ń gbà lórí CRL àtijọ́ nínú igi tí a dá padà, olùpín sì gba ẹ̀rọ tí o ti fi sílẹ̀. WireGuard tààrà jù: a ń fún ẹlẹgbẹ́ láṣẹ nípa wíwà nínú àkọsílẹ̀, nítorí náà ẹlẹgbẹ́ tí a paarẹ́ lẹ́yìn àwòrán wà níbẹ̀ lẹ́ẹ̀kan sí i. Kò sí ẹni tí ó tún fọwọ́ sí àǹfààní yẹn. Fáìlì àtijọ́ ni ó ṣe é.

Ìdánimọ̀ olùpín àti ìdánimọ̀ ẹ̀rọ ìsọ̀rọ̀ ń kùnà ní àwọn ọ̀nà ọ̀tọ̀ọ̀tọ̀

Nínú WireGuard ìdánimọ̀ olùpín ni kọ́kọ́rọ́ àdámọ́ nínú wg0.conf, nítorí náà dídà fáìlì yẹn sí olùgba kejì tí ó wà ní àràádọ́ ń dá olùpín méjì tí wọ́n ní ìdánimọ̀ kan náà tí wọn kò sì mọ̀ ara wọn. Olúkúlùkù ń tọ́jú àkọsílẹ̀ ẹlẹgbẹ́ tirẹ̀. Yọ ẹlẹgbẹ́ kan kuro ní olùgba tuntun, ẹyọ àtijọ́ ṣì gbà á; ṣàyẹ̀wò wg show lórí ọ̀kan, ìwọ yóò rí ìdajì òtítọ́. Àwọn ẹ̀rọ ìsọ̀rọ̀ kò yí ara wọn padà: prófáìlì ń gbé Endpoint kan, nítorí náà ẹ̀rọ ń bá àdírẹ́sì tí a ṣètò rẹ̀ sọ̀rọ̀ lọ, èyí tí ó lè jẹ́ olùgba tí o fẹ́ fi sílẹ̀.

OpenVPN ń ṣe àdúà ní pẹrẹsẹ kan náà pẹ̀lú ẹ̀rí olùpín, kọ́kọ́rọ́ àdámọ́ rẹ̀ àti kọ́kọ́rọ́ ìdúró tls-auth tàbí tls-crypt. Dà gbogbo mẹ́ta, ẹ̀rọ ìsọ̀rọ̀ kò lè yà àwọn ẹ̀dà ọ̀tọ̀ọ̀tọ̀; bí àwọn méjèèjì bá wà ní àràádọ́, ìsopọ̀ mìíràn lè bọ́ sórí èyíkéyìí, fáìlì àkọsílẹ̀ kọ̀ọ̀kan sì ń sọ ìdajì ìtàn. Ilé-ìṣẹ́ ẹ̀rí ni ẹ̀dà tí ó jinlẹ̀ jù. Igi easy-rsa tí a dá padà ni orísun òtítọ́ kejì tí ó lè gbé ẹ̀rí tí ó wúlò jáde fún orúkọ èyíkéyìí tí o bá fún un.

Àwọn ẹ̀rọ ìsọ̀rọ̀ pẹ̀lú ń ṣe àdúà, ní àkókò ìṣíkiri náà fúnra rẹ̀. Dídà prófáìlì sí ẹ̀rọ àfipamọ́ «kìkì láti dán wò» ń dá ẹ̀rọ kejì pẹ̀lú kọ́kọ́rọ́ kan náà àti orúkọ gbogbogbò kan náà. Pẹ̀lú duplicate-cn àwọn ìpàdé méjèèjì lè dúró ní àkókò kan, ìpín àdírẹ́sì ìdúró nínú ccd tàbí ifconfig-pool-persist sì lè bá ẹ̀rọ ìpilẹ̀ jà. Àwọn ni ẹ̀rọ méjì tí wọ́n wọ ìdánimọ̀ kan, kò sì sí ohun kan nínú ìṣètò olùpín tí ó yà wọ́n.

Yan ọ̀kan nínú àwọn ipò mẹ́ta fún ibi ìparí àtijọ́

Ìdápada wà ní ààbò kìkì nígbà tí a bá ti pinnu ọjọ́-ìparí ibi ìparí àtijọ́. Fi sílẹ̀: iṣẹ́ àtijọ́ gbọ́dọ̀ jáwọ́ gbígba ẹnu-ọ̀nà VPN kí olùgba tuntun tó bẹ̀rẹ̀, àti bí o kò bá lè dé ẹ̀rọ náà, dí ẹnu-ọ̀nà yẹn ní etí nẹ́tíwọ́kì fún gbogbo nǹkan àyàfi orísun ìṣàkóso rẹ. Tún olùgba kan náà ṣe: àtúnlò ìdánimọ̀ dára nítorí ẹ̀rọ kan ń gbé e, ṣùgbọ́n lẹ́yìn náà pa ẹ̀dà díìsìkì tàbí àwòrán VM ti kọ́kọ́rọ́ àtijọ́ run kí ó má lè padà wá. Kọ́ bẹ́ẹ̀ ni pẹlú wíwà: olùgba méjì nílò ìdánimọ̀ olùgba ọ̀tọ̀ọ̀tọ̀ pẹ̀lú ibi ìparí kan tí wọ́n pín, bí àdírẹ́sì tí ń léfòó, olùdọ́gba ẹrù tàbí DNS tí o lè gbé lọ. Dídà kọ́kọ́rọ́ àdámọ́ kì í ṣe àpẹẹrẹ failover; olùpín méjì ni wọ́n tí wọ́n ń béèrè orúkọ kan.

Jẹ́rìí ipò tí o wà gan-an kí o tó fi ọwọ́ kan àwọn ẹ̀rọ ìsọ̀rọ̀. Olùgba àtijọ́ tí ó ń dáhùn lórí ẹnu-ọ̀nà VPN ni ẹni tí yóò gba ẹ̀rọ tí a fagilé, kódà bí DNS bá ti gbé lọ. Ṣàyẹ̀wò àwọn olùgbọ́ àti kọ́kọ́rọ́ gbangba:

ss -lunp | grep -E ':51820|:1194'
wg show wg0
wg pubkey < /etc/wireguard/server.key

Kọ́kọ́ ṣe àfihàn ẹlẹgbẹ́, ìfagilé àti àdírẹ́sì

Ṣe àkọsílẹ̀ ohun tí ìdápada ń sọ lòdì sí ohun tí a fún ní àṣẹ báyìí. Nínú WireGuard wg show wg0 ń fún kọ́kọ́rọ́, ibi ìparí, ìfọwọ́bá tí ó ṣẹ̀ṣẹ̀ ju àti àwọn olùka ìgbéjáde ti ẹlẹgbẹ́ kọ̀ọ̀kan, tí ó tó láti ṣe àkíyèsí ẹ̀rọ tí kò sí lọ́wọ́ rẹ mọ́. Yọ ọ́ kuro ní ìgbìyànjú ààyè pẹ̀lú wg set wg0 peer <key> remove, lẹ́yìn náà ṣàtúnṣe ìṣètò pẹ̀lú, bí bẹ́ẹ̀ kọ́ ẹlẹgbẹ́ yóò padà wá ní ìbẹ̀rẹ̀ tó ń bọ̀. wg show wg0 allowed-ips ń tú ìṣòro kejì: ẹlẹgbẹ́ méjì lórí àdírẹ́sì kan, tàbí àdírẹ́sì tí o ti pín lẹ́ẹ̀kan sí i.

Nínú OpenVPN àkọsílẹ̀ ìfagilé jẹ́ fáìlì tí ó ní déètì, ìdápada sì lè dá ẹyọ àtijọ́ padà. Ṣàyẹ̀wò rẹ̀ kí àwọn ẹ̀rọ ìsọ̀rọ̀ tó sopọ̀:

openssl crl -in /etc/openvpn/crl.pem -noout -lastupdate -nextupdate
grep -E 'crl-verify|reneg-sec' /etc/openvpn/server.conf

Bí àtúnṣe ìkẹyìn bá ṣáájú ìfagilé, olùpín ṣì ń bọ̀wọ̀ fún ẹ̀rí tí o fagilé. OpenVPN 2.4 àti èyí tí ó tẹ̀le ń ka fáìlì CRL lẹ́ẹ̀kan sí i fún ìsopọ̀ tuntun kọ̀ọ̀kan, nítorí náà pípààrọ̀ fáìlì ń dá àwọn ìpàdé tuntun dúró, ṣùgbọ́n àwọn ojú-ọ̀nà tí a ti gbé kalẹ̀ ń wà títí di ìdúnàádúrà tuntun; ìpìlẹ̀ reneg-sec ni 3600 ìṣẹ́jú-àáyá, pípàgọ́ rẹ̀ tàbí ìbẹ̀rẹ̀ iṣẹ́ lẹ́ẹ̀kan sí i ni ó ń fún ọ ní ìyípadà báyìí. Àwọn kọ́mù ìkọ́ àtijọ́ lè má gba fáìlì náà gẹ́gẹ́ bí ó ti yẹ, nítorí náà tún bẹ̀rẹ̀ nígbà tí o kò lè jẹ́rìí ìhùwàsí ẹ̀yà náà. Ìwé ìtọ́nisọ́nà wg(8) ń bo yíyọ ẹlẹgbẹ́ àti ìlà ìṣe allowed-ips tí a lò lókè.

Tún ọ̀wọ́ àwọn ìpín ìdúró fún àwọn ẹ̀rọ tí kò sí mọ́. Àtúnlò àdírẹ́sì ẹ̀rọ tí a fi sílẹ̀ fún ẹyọ tuntun nígbà tí prófáìlì àtijọ́ ṣì wà ní ìṣẹ̀dá ń dá àdúà gan-an tí o ń gbìyànjú láti yẹ̀ sí.

Jẹ́rìí pẹ̀lú ẹ̀rọ ìsọ̀rọ̀ tí o fagilé

Ṣe àwọn àyẹ̀wò ní ìtẹ̀lentẹ̀lẹ̀, láti nẹ́tíwọ́kì tí ó wà ní òde ojú-ọ̀nà. Kọ́kọ́ ẹ̀rọ tí a fún ní àṣẹ yóò sopọ̀, yóò yanjú DNS nípasẹ̀ olùyanjú tí a tì jáde, yóò sì dé orísun àdámọ́. Lẹ́yìn náà ẹ̀rọ tí a fagilé gbọ́dọ̀ kùnà, pẹ̀lú prófáìlì rẹ̀ tí ó wà tẹ́lẹ̀ kì í ṣe ẹyọ tuntun. Lẹ́yìn náà dán ibi ìparí àtijọ́ wò láti òde: bí ẹnu-ọ̀nà VPN bá ṣì ń parí ìfọwọ́bá, olùgba àtijọ́ ṣì wà láàyè àti àdúà náà jẹ́ òtítọ́, kì í ṣe àbá.

Tún olùgba tí a dá padà bẹ̀rẹ̀ kí o sì tún àwọn àyẹ̀wò àṣẹ àti ìfagilé ṣe, nítorí nígbà yẹn ni fáìlì ìṣètò ń borí ohun tí o yí padà nígbà ìṣiṣẹ́. Fi kọ́kọ́rọ́ gbangba tàbí ìtẹ̀ka ẹ̀rí olùgba wé èyí tí ẹ̀rọ tí a fi sílẹ̀ lò. Ìtẹ̀ka tí ó bára mu lórí ẹ̀rọ méjì tí wọ́n wà láàyè túmọ̀ sí pé ìdápada ṣe àdàkọ ìdánimọ̀; ìtẹ̀ka tí ó bára mu lórí ẹ̀rọ kan jẹ́ àdáyébá. Kọ àwọn ẹ̀yà tí a dá padà, ìtẹ̀ka kọ́kọ́rọ́ àti nọ́mbà ìtẹ̀lentẹ̀lẹ̀ tàbí kọ́kọ́rọ́ ẹlẹgbẹ́ tí a fagilé sílẹ̀, lẹ́yìn náà gbé àpamọ́ tó ń bọ̀ lẹ́yìn àfihàn yìí, kí ó lè ṣàpẹẹrẹ iṣẹ́ gẹ́gẹ́ bí ó ti wà báyìí. Àyẹ̀wò tí ń ṣiṣẹ́ kì í ṣe pé ẹ̀rọ ìsọ̀rọ̀ sopọ̀. Ìwọ ni pé ẹ̀rọ ìsọ̀rọ̀ tí o yọ kuro yóò dúró ní òde nígbà tí ibi ìparí àtijọ́ yóò dúró ní ìdì.