Hoe om ’n verlore VPN-toestel te herroep: sleutel, sertifikaat of rekening

Jou skootrekenaar is weg, en die VPN lys hom steeds as ’n kliënt. Die dringende vraag is nie hoe om die profiel op ’n masjien wat jy nie meer het nie te verwyder nie, maar watter identiteit die bediener nog aanvaar. WireGuard kyk na ’n publieke sleutel, ’n PKI-gebaseerde OpenVPN opstelling kyk na ’n kliëntsertifikaat, en ’n SSO-voorgelegde VPN kyk na ’n rekening en sy sessietoken. Daardie drie herroep op verskillende plekke, teen verskillende spoeds, en om een reg te maak terwyl jy die ander ignoreer, is hoe ’n verlore toestel verbind bly.

Drie identiteite en wat elkeen beheer

Elke meganisme beantwoord ’n ander vraag. ’n Eweknie-sleutel antwoord of dit die masjien is wat jy ingeskryf het. ’n Sertifikaat antwoord of dit deur jou CA onderteken is en nie herroep is nie. ’n Rekening antwoord of hierdie persoon onlangs genoeg geauthentiseer het. ’n Ontplooiing wat twee daarvan laag op mekaar plaas, byvoorbeeld sertifikaat plus gidsaanmelding, maak die deur net toe wanneer elke laag wat iets aan die toestel uitgereik het, gesê is om op te hou om dit te aanvaar.

Die praktiese lokval is dat die vermiste masjien die private helfte van elke geloofsbrief hou, so niks wat jy plaaslik doen, bereik die bediener nie.

WireGuard: verwyder die eweknie, want daar is geen herroepingslys nie

WireGuard hou geen weierlys nie. Die koppelvlak aanvaar presies die publieke sleutels wat as eweknieë opgestel is, so herroeping is verwydering: voer wg set wg0 peer <public-key> remove uit, die vorm wat in wg(8), dan verwyder die ooreenstemmende [Peer]-blok uit wg0.conf. Doen albei. ’n Slegs-looptyd-verwydering oorleef tot die volgende herbegin of konfigurasie-herlaai, waarna die lêer die sleutel terugsit.

Bestaande sessies het nie ’n tydhouer nodig om te sterf nie. Om die eweknie te verwyder laat vaar sy handdruk en sleutelmateriaal, so verkeer stop sodra ’n geldige sleutelpaar weer vereis word. Kyk na wg show wg0 latest-handshakes op die bediener: die inskrywing vir die verlore sleutel behoort te verdwyn en weg te bly, terwyl die ander eweknieë steeds onlangse tydperke aanmeld.

Een waarskuwing maak meer saak as wat dit lyk. As die verlore toestel ’n sleutel met ander toestelle gedeel het omdat iemand een konfigurasielêer gekopieer het, ontkoppel die verwydering van daardie sleutel almal; dit is steeds die regte skuif, en jy heruitreik daarna sleutels per toestel eerder as om die gedeelde een te herstel.

Sertifikate: ’n CRL tel net as die daemon dit lees

Sertifikaatgebaseerde toegang voeg ’n stap by wat mense oorslaan. easyrsa revoke laptop-01 merk die sertifikaat as herroep in die CA-databasis, maar die VPN leer niks uit daardie databasis nie. Jy voer dan easyrsa gen-crl uit om crl.pem te skryf, kopieer dit na die pad wat in die bediener se crl-verify-opsie genoem word, en bevestig dat die lopende daemon die nuwe lêer gebruik. Om te herroep sonder om die CRL te hergenereer en te versprei, is ’n no-op.

Tydberekening is die tweede helfte. ’n CRL word geraadpleeg wanneer ’n kliënt konnekteer of heronderhandel, so ’n gevestigde tonnel kan aanhou deurstuur tot dan. As die toestel onmiddellik afgesny moet word, beëindig daardie sessie eksplisiet deur die OpenVPN-bestuurskoppelvlak eerder as om op die volgende handdruk te wag. Om die diens te herlaai of te herbegin, afhangend van hoe die ontplooiing die CRL laai, is deel van die verandering en nie ’n opsionele extra nie.

Verifikasie is die moeite werd om van ’n ander masjien af te doen: bied die herroepte sertifikaat aan en verwag ’n handdrukfout, tipies VERIFY ERROR: depth=0, error=certificate revoked. As die verbinding steeds slaag, lees die kliënt ’n ander CRL as die een wat jy opgedateer het.

Rekeninge en sessies: deaktiveer is nie dieselfde as uitsit nie

Gids- of SSO-aanmeldings word op outentikasietyd nagegaan. Om die rekening te deaktiveer blokkeer die volgende aanmelding, maar die verversingstoken en die gevestigde tonnel kan aanhou werk totdat hulle verval. Herroep die sessies en tokens vir daardie gebruiker, of verhoog ’n sessieweergawe as die identiteitsverskaffer dit ondersteun. Verwyder ook die verlore toestel uit die MFA-inskrywing, want ’n geregistreerde outentikeerder is ’n toegangspad op sy eie.

RADIUS-gerugsteunde VPN’s kan ’n ontkoppelboodskap of ’n magtigingsverandering stuur om ’n aktiewe sessie te laat val, maar nie elke netwerktoegangbediener eerbiedig dit nie. As jy twyfel, beëindig die gebruiker se sessie van die bedienerkant af en bevestig in die logboeke dat die ou sessie gesluit het.

Orde van werking vir die volgende uur

Begin by die inventaris, nie by die kliënt nie: lys elke identiteit wat aan die toestel gekoppel is, hetsy eweknie-sleutel, sertifikaatreeksnommer of rekening. Herroep by elke uitreikstelsel in die orde waarin die verbinding gebou word, dit wil sê rekening eerste, dan sertifikaat, dan eweknie. Bewys dan die weiering vanaf ’n masjien wat jy beheer.

Twee opvolgstappe is maklik om te vergeet. Eerste, roteer enigiets anders wat die toestel gehou het, veral SSH-sleutels, wolk-konsole-geloofsbriewe en ’n gedeelde WireGuard-voorsleutel. Tweede, kontroleer dat konfigurasiebestuur, momentopnames of goue beelde nie die verwyderde kliënt by die volgende herbou kan herinvoer nie.

Die blywende oplossing is een identiteit per toestel. Wanneer elke skootrekenaar sy eie eweknie-sleutel of sertifikaat dra, kos ’n verlies een herroepingsopdrag en ’n heruitreiking eerder as ’n herbou van die hele vloot.