İtirilmiş VPN cihazını ləğv etmə: açar, sertifikat və ya hesab

Noutbukunuz getdi, amma VPN onu hələ də müştəri kimi siyahıya alır. Təcili sual artıq sizdə olmayan maşında profili necə silmək deyil, serverin hansı kimliyi hələ də qəbul etməsidir. WireGuard açıq açarı yoxlayır, PKI əsaslı OpenVPN quraşdırma müştəri sertifikatını yoxlayır, SSO ilə qorunan VPN isə hesabı və onun sessiya tokenini yoxlayır. Bu üçü fərqli yerlərdə, fərqli sürətlə ləğv olunur və birini düzəldib digərlərini nəzərə almamaq itirilmiş cihazın bağlı qalmasının yoludur.

Üç kimlik və hər birinin nəyi idarə etdiyi

Hər mexanizm fərqli suala cavab verir. Peer açarı bunun qeydiyyatdan keçirdiyiniz maşın olub-olmadığını cavablandırır. Sertifikat onun CA-nız tərəfindən imzalanıb-imzalanmadığını və ləğv edilmədiyini cavablandırır. Hesab bu şəxsin kifayət qədər yaxınlarda autentifikasiya edib-etmədiyini cavablandırır. Onlardan ikisini üst-üstə qoyan quraşdırma, məsələn sertifikat üstəgəl kataloq girişi, qapını yalnız cihaza nəsə verən hər təbəqəyə onu qəbul etməyi dayandırmaq deyildikdə bağlayır.

Praktik tələ isə odur ki, itirilmiş maşın hər etimadnamənin özəl yarısını saxlayır, yəni yerli olaraq etdiyiniz heç nə serverə çatmır.

WireGuard: peer-i silin, çünki ləğv siyahısı yoxdur

WireGuard heç bir qadağa siyahısı saxlamır. İnterfeys yalnız peer kimi konfiqurasiya edilmiş açıq açarları qəbul edir, yəni ləğv silməkdir: wg set wg0 peer <public-key> remove əmrini işə salın, wg(8), sonra wg0.conf faylından uyğun [Peer] blokunu silin. İkisini də edin. Yalnız işləmə vaxtında silmə növbəti yenidən başlatmaya və ya konfiqurasiya yenilənməsinə qədər davam edir, o zaman fayl açarı geri qaytarır.

Mövcud sessiyaların ölmək üçün taymerə ehtiyacı yoxdur. Peer-in silinməsi onun əl sıxmasını və açar materialını atır, yəni etibarlı açar cütü yenidən tələb olunan kimi trafik dayanır. Serverdə wg show wg0 latest-handshakes yoxlayın: itirilmiş açarın qeydi yox olmalı və yox olmuş qalmalıdır, digər peer-lər isə son dövrləri bildirməyə davam edir.

Bir xəbərdarlıq göründüyündən daha vacibdir. Əgər itirilmiş cihaz kimsə bir konfiqurasiya faylını kopyaladığı üçün digər cihazlarla açar paylaşırdısa, həmin açarın silinməsi onların hamısının bağlantısını kəsir; bu yenə də düzgün addımdır və sonra paylaşılan açarı bərpa etmək əvəzinə hər cihaz üçün ayrıca açar verirsiniz.

Sertifikatlar: CRL yalnız daemon onu oxuyanda sayılır

Sertifikata əsaslanan giriş insanların atladığı bir addım əlavə edir. easyrsa revoke laptop-01 sertifikatı CA verilənlər bazasında ləğv edilmiş kimi işarələyir, amma VPN həmin bazadan heç nə öyrənmir. Sonra easyrsa gen-crl işə salıb crl.pem faylını yazırsınız, onu serverin crl-verify seçimində göstərilən yola kopyalayır və işləyən daemonun yeni faylı istifadə etdiyini təsdiqləyirsiniz. CRL-i yenidən yaratmadan və paylamadan ləğv etmək heç bir nəticə vermir.

Vaxt ikinci yarıdır. CRL müştəri qoşulanda və ya yenidən razılaşanda sorğulanır, yəni qurulmuş tunel o vaxta qədər yönləndirməyə davam edə bilər. Cihaz dərhal kəsilməlidirsə, növbəti əl sıxmasını gözləmək əvəzinə OpenVPN idarəetmə interfeysi vasitəsilə həmin sessiyanı açıq şəkildə dayandırın. Xidmətin yenidən yüklənməsi və ya başladılması, quraşdırmanın CRL-i necə yükləməsindən asılı olaraq, dəyişikliyin bir hissəsidir və əlavə seçim deyil.

Yoxlamağa başqa maşından dəyər: ləğv edilmiş sertifikatı təqdim edin və əl sıxma uğursuzluğu gözləyin, adətən VERIFY ERROR: depth=0, error=certificate revoked. Əgər bağlantı yenə də uğurlu olursa, müştəri sizin yenilədiyinizdən fərqli CRL oxuyur.

Hesablar və sessiyalar: deaktiv etmək qovmaq deyil

Kataloq və ya SSO girişləri autentifikasiya vaxtı yoxlanılır. Hesabın deaktiv edilməsi növbəti girişi bloklayır, amma yeniləmə tokeni və qurulmuş tunel bitənə qədər işləməyə davam edə bilər. Həmin istifadəçinin sessiyalarını və tokenlərini ləğv edin və ya şəxsiyyət provayderi dəstəkləyirsə sessiya versiyasını artırın. İtirilmiş cihazı MFA qeydiyyatından da çıxarın, çünki qeydiyyatdan keçmiş autentifikator özlüyündə bir giriş yoludur.

RADIUS əsaslı VPN-lər aktiv sessiyanı atmaq üçün ayırma mesajı və ya səlahiyyət dəyişikliyi göndərə bilər, amma hər şəbəkə giriş serveri buna əməl etmir. Şübhə olduqda istifadəçinin sessiyasını server tərəfindən bitirin və jurnallarda köhnə sessiyanın bağlandığını təsdiqləyin.

Növbəti saat üçün əməliyyat sırası

Müştəridən deyil, inventardan başlayın: cihaza bağlı hər kimliyi, istər peer açarı, istər sertifikat seriyası, istərsə də hesab olsun, siyahıya alın. Hər verən sistemdə bağlantının qurulma sırası ilə ləğv edin, yəni əvvəlcə hesab, sonra sertifikat, sonra peer. Sonra nəzarət etdiyiniz maşından imtinanı sübut edin.

İki davam işini unutmaq asandır. Birincisi, cihazın saxladığı hər şeyi dəyişdirin, xüsusən SSH açarları, bulud konsolu etimadnamələri və paylaşılan WireGuard əvvəlcədən paylaşılmış açarı. İkincisi, konfiqurasiya idarəetməsinin, snapshot-ların və ya qızıl obrazların növbəti yenidən qurmada silinmiş müştərini geri gətirə bilmədiyini yoxlayın.

Davamlı həll hər cihaz üçün bir kimlikdir. Hər noutbuk öz peer açarını və ya sertifikatını daşıyanda itki bütün donanmanı yenidən qurmaq əvəzinə bir ləğv əmri və yenidən buraxılışa başa gəlir.