Правядзіце інвентарызацыю VPN-профіляў на ноўтбуку, перш чым здаць яго

Ноўтбук вяртаецца ў лізінгавую кампанію, калегу або на перапрацоўку. Дзесьці ўнутры яго ёсць VPN-профілі, якія аўтэнтыфікуюцца як нехта, і значок адключанага кліента не азначае, што яны зніклі. Інвентарызацыя, якая вам патрэбна, — гэта спіс асоб і ўладальнікаў, а не папка са скапіяванымі ключамі. Першае карыснае; другое — новы інцыдэнт, які чакае даты.

Пяць крокаў, пачынаючы з таго, што машына ўжо ведае пра сябе.

Крок 1: пералічыце тое, што сістэма лічыць усталяваным

У Windows Get-VpnConnection і Get-VpnConnection -AllUserConnectionпералічваюць уласныя профілі ў абодвух абсягах, а прадстаўленне ўсталяваных праграм ахоплівае кліентаў трэціх бакоў. У macOS панэль «Сетка» паказвае наладжаныя службы, а профілі жывуць у сістэмнай канфігурацыі, а не ў папцы, якую можна прагледзець. У Linux NetworkManager захоўвае файлы злучэнняў, а дэманы тунэляў — свае ўласныя. Запішыце спіс, перш чым нешта выдаляць.

Кліент, які ўсталяваны, але не мае бачнага профілю, усё роўна мае значэнне, бо ён можа захоўваць кэшаваныя ўліковыя даныя ў сістэмным сховішчы.

Крок 2: знайдзіце профілі, якія захоўваюць кліенты

Профілі хаваюцца ў прадказальных месцах, калі вы ведаеце платформу. Windows трымае тэлефонныя кнігі ў профілі карыстальніка і ў ProgramData, а сертыфікаты — у асабістым сховішчы. macOS трымае сеткавыя службы ў plist сістэмнай канфігурацыі, а ўліковыя даныя — у Keychain. Дыстрыбутывы Linux трымаюць злучэнні NetworkManager у /etc/NetworkManager/system-connections/, а вызначэнні WireGuard ці OpenVPN — у /etc/wireguard/ і /etc/openvpn/. Файлы ў гэтых шляхах часта змяшчаюць прыватны ключ непасрэдна ўнутры.

Шукайце па змесце, а не толькі па назве. Файл з назвай backup.txt можа быць профілем OpenVPN з ключом унутры.

Крок 3: запісвайце ўладальніцтва, а не матэрыял ключоў

Для кожнага профілю запішыце ідэнтыфікатар, уладальніка, апошняе вядомае выкарыстанне і месца аўтарытэтнай копіі. Не капіюйце ключ, сертыфікат або пароль у інвентарызацыю, бо інвентарызацыя падарожнічае праз заяўкі, табліцы і чаты, і яна перажыве ноўтбук. Спасылкі, напрыклад запісу сховішча аператара для профілю X, дастаткова, каб дзейнічаць.

Інвентарызацыя, якая змяшчае сакрэты, што павінна была дапамагчы адклікаць, зрабіла праблему большай.

Крок 4: выведзіце асобу з эксплуатацыі з абодвух бакоў

Выдаленне файла прыбірае адну копію. Калі прылада больш ніколі не будзе давераная, папрасіце аператара зняць яе аўтарызацыю, адклікаць сертыфікат або выдаліць уліковы запіс, бо копія ў іншым месцы ўсё яшчэ аўтэнтыфікуецца. Кіраваныя профілі і сертыфікаты машын звычайна маюць працэс вываду, які ўжо ведае абодва бакі, і гэта хутчэй, чым імправізаваць яго. Не чапайце незнаёмыя сістэмныя запісы, пакуль не даведаецеся, хто імі валодае.

Лакальнае выдаленне без дыстанцыйнага адклікання — гэта прыборка, а не вывад з эксплуатацыі.

Крок 5: праверце рэзервовыя копіі, якія вы забылі

Старыя экспарты жывуць у папках загрузак, у архівах рэзервовых копій, у нататніку і на знешнім дыску ад дзвюх папярэдніх прац. Праверце тыя, што вы кантралюеце, і трымайце любы патрэбны гістарычны запіс асобна ад актыўных уліковых даных, бо архіў адкліканага профілю — гэта запіс, а не працоўны ключ.

Затым праверце канчатковы стан: прызначаны доступ больш не працуе, і чалавек, які валодае ўліковым запісам, ведае, што яго выдалілі.