Адна ідэнтычнасць VPN на прыладу: чаму сумеснае выкарыстанне ламае выдаленне

Адзін профіль, скапіяваны на ноўтбук, тэлефон і планшэт, працуе добра, пакуль адзін з іх не страціцца. У гэты момант выбар — перапыніць кожную прыладу, якая дзеліць ідэнтычнасць, або пакінуць непажаданы доступ на месцы. Абодва варыянты горшыя за тыя дзесяць хвілін, якія спатрэбіліся б на выдачу трох ідэнтычнасцей. Механізм не складаны: аднарангавы вузел VPN — гэта запіс аўтарызацыі, і адзін запіс на прыладу — гэта тое, што ператварае выдаленне ў адзінае дакладнае дзеянне.

Што дзеліць агульны профіль

Капіраванне прыватнага ключа капіруе ўсю аўтарызацыю: запіс аднарангавага вузла, адрас тунеля і ўсе маршруты і палітыкі, прывязаныя да яго. Сервер не можа адрозніць копіі, бо пратакол вызначае вузел па ключы, а не па прыладзе. Кожны радок журнала, кожнае абмежаванне і кожнае рашэнне аб адкліканні датычацца групы. Таму агульны профіль — не зручнасць з невялікім коштам бяспекі, а адзіная кропка адмовы з некалькімі прыладамі.

Тая ж логіка датычыцца агульнага ўліковага запісу з адным сертыфікатам.

Забяспечвайце праз мадэль ідэнтычнасці, якая ў вас ёсць

Разгортванне WireGuard можа аўтарызаваць асобныя ключы вузлоў, па адным на прыладу. Разгортванне на аснове сертыфікатаў можа выдаваць індывідуальныя кліенцкія сертыфікаты ад свайго цэнтра. Сістэма ўліковых запісаў можа спалучаць карыстальніка з асобнымі запісамі прылад, у залежнасці ад прадукту. Выкарыстоўвайце падтрыманы аператарам працэс рэгістрацыі, бо стварэнне новага лакальнага сакрэту нічога не робіць, пакуль вузел або шлюз не прызнае адпаведную аўтарызацыю.

Падтрыманы шлях — гэта таксама той, які перажыве наступнае абнаўленне.

Інвентар без сакрэтаў

Трымайце назву прылады, публічны ідэнтыфікатар і ўладальніка ў інвентары, па якім можна шукаць. Не капіюйце прыватныя ключы ў гэты інвентар, бо гэта ператварае спіс актываў у сховішча ўліковых даных.

Радка «Ноўтбук Аны, публічны ключ вузла, выдадзены 12 сакавіка» дастаткова, каб дзейнічаць.

Выдаленне — гэта працэдура, а не кнопка

Запішыце, як адключыць роўна адну прыладу і ці патрэбны актыўнаму сеансу асобны крок спынення. Праверце ўстойлівасць, каб перазапуск або стары рэзервовы здымак канфігурацыі не вярнуў аўтарызацыю. Пацвердзіце, што выдаленне падзейнічала, паспрабаваўшы падключыцца з выдаленай прылады. Затым праверце, ці не спасылалася на гэтую ідэнтычнасць штосьці яшчэ, напрыклад зонд маніторынгу або агульны маршрут.

Крок, які прапускаюць людзі, — апошні, і ён адзіны, які даказвае змену.

Парадак замены

Спачатку выдайце новую прыладу, праверце яе на рэсурсе, які ёй патрэбны, затым выведзіце старую. Выключэнне — уздзеянне: калі старая прылада можа быць у чужых руках, спачатку выдаліце яе і прыміце перапынак.

У любым выпадку прагледзьце захаваныя экспарты на выведзеным абсталяванні, перш чым яно пакіне будынак.

Што даюць асобныя ідэнтычнасці

Тры рэчы, і кожная з’яўляецца падчас інцыдэнту:

• Адклікаць адну прыладу, не закранаючы іншыя.
• Прыпісаць злучэнне прыладзе, а не групе.
• Растлумачыць збой, не збіраючы актыўнасць усіх.

Кіраўніцтва аператара — гэта аўтарытэт у дачыненні да яго ўласнай мадэлі забеспячэння, ці то ключы на кожны вузел, як у хуткім старце WireGuard, ці індывідуальныя сертыфікаты ад лакальнага цэнтра. Асобныя запісы — гэта розніца паміж паркам, пра які можна разважаць, і паркам, які можна толькі скінуць.