Як адклікаць страчаную прыладу VPN: ключ, сертыфікат або ўліковы запіс

Ваш ноўтбук знік, а VPN па-ранейшаму паказвае яго як кліента. Тэрміновае пытанне не ў тым, як выдаліць профіль на машыне, якой у вас больш няма, а ў тым, якую асобу сервер яшчэ прымае. WireGuard правярае публічны ключ, а налада OpenVPN на базе PKI правярае кліенцкі сертыфікат, а VPN з адзіным уваходам правярае ўліковы запіс і яго сеансавы токен. Гэтыя тры адклікаюцца ў розных месцах і з рознай хуткасцю, і выпраўленне аднаго з ігнараваннем іншых — гэта тое, як страчаная прылада застаецца падключанай.

Тры асобы і што кожная з іх кантралюе

Кожны механізм адказвае на сваё пытанне. Ключ партнёра адказвае, ці гэта тая машына, якую вы зарэгістравалі. Сертыфікат адказвае, ці быў ён падпісаны вашым CA і ці не быў адкліканы. Уліковы запіс адказвае, ці гэты чалавек аўтэнтыфікаваўся досыць нядаўна. Разгортванне, якое накладвае два з іх, напрыклад сертыфікат плюс уваход праз каталог, закрывае дзверы толькі тады, калі кожнаму ўзроўню, які нешта выдаў прыладзе, сказалі перастаць гэта прымаць.

Практычная пастка ў тым, што зніклая машына трымае прыватную палову кожнага пасведчання, таму нішто зробленае лакальна не дасягае сервера.

WireGuard: выдаліце партнёра, бо спісу адкліканняў няма

WireGuard не вядзе ніякага спісу забарон. Інтэрфейс прымае роўна тыя публічныя ключы, што наладжаны як партнёры, таму адкліканне — гэта выдаленне: выканайце wg set wg0 peer <public-key> remove, форму, апісаную ў wg(8), потым выдаліце адпаведны блок [Peer] з wg0.conf. Зрабіце і тое, і тое. Выдаленне толькі ў часе выканання трымаецца да наступнага перазапуску або перазагрузкі канфігурацыі, і тады файл вяртае ключ.

Існуючыя сеансы не патрабуюць таймера, каб памерці. Выдаленне партнёра скідае яго рукапоціск і ключавы матэрыял, таму трафік спыняецца, як толькі зноў спатрэбіцца сапраўдная пара ключоў. Праверце wg show wg0 latest-handshakes на серверы: запіс страчанага ключа павінен знікнуць і заставацца адсутным, а іншыя партнёры працягваюць паведамляць нядаўнія эпохі.

Адна заўвага важней, чым здаецца. Калі страчаная прылада дзяліла ключ з іншымі прыладамі, бо нехта скапіраваў адзін файл канфігурацыі, выдаленне гэтага ключа адключае ўсіх іх; гэта ўсё роўна правільны крок, і пасля вы выдаеце ключы асобна для кожнай прылады замест таго, каб аднаўляць агульны.

Сертыфікаты: CRL мае значэнне, толькі калі дэман яго чытае

Доступ на аснове сертыфікатаў дадае крок, які людзі прапускаюць. easyrsa revoke laptop-01 пазначае сертыфікат як адкліканы ў базе CA, але VPN нічога не даведваецца з гэтай базы. Затым вы запускаеце easyrsa gen-crl, каб запісаць crl.pem, капіюеце яго ў шлях, названы ў опцыі сервера crl-verify, і пераконваецеся, што працуючы дэман выкарыстоўвае новы файл. Адкліканне без перагенерацыі і распаўсюджвання CRL — пустое дзеянне.

Час — гэта другая палова. CRL запытваецца, калі кліент падключаецца або пераглядае ўмовы, таму ўсталяваны тунэль можа працягваць перадачу да таго часу. Калі прыладу трэба адрэзаць неадкладна, спыніце гэты сеанс явна праз інтэрфейс кіравання OpenVPN, а не чакайце наступнага рукапоціску. Перазагрузка або перазапуск службы, у залежнасці ад таго, як разгортванне загружае CRL, — частка змены, а не дадатковая опцыя.

Праверку варта рабіць з іншай машыны: прад’явіце адкліканы сертыфікат і чакайце збою рукапоціску, звычайна VERIFY ERROR: depth=0, error=certificate revoked. Калі злучэнне ўсё яшчэ ўдаецца, кліент чытае іншы CRL, чым той, які вы абнавілі.

Уліковыя запісы і сеансы: адключэнне не тое ж, што выгнанне

Уваходы праз каталог або SSO правяраюцца ў момант аўтэнтыфікацыі. Адключэнне ўліковага запісу блакуе наступны ўваход, але токен абнаўлення і ўсталяваны тунэль могуць працаваць да сканчэння іх тэрміну. Адклічце сеансы і токены гэтага карыстальніка або павялічце версію сеансу, калі пастаўшчык ідэнтычнасці гэта падтрымлівае. Выдаліце страчаную прыладу і з рэгістрацыі MFA, бо зарэгістраваны аўтэнтыфікатар — гэта самастойны шлях доступу.

VPN на базе RADIUS могуць адправіць паведамленне аб адключэнні або змену аўтарызацыі, каб скінуць актыўны сеанс, але не кожны сервер доступу да сеткі гэта выконвае. Калі ёсць сумнеў, завяршыце сеанс карыстальніка з боку сервера і пацвердзіце ў журналах, што стары сеанс зачынены.

Парадак дзеянняў на наступную гадзіну

Пачніце з інвентарызацыі, а не з кліента: пералічыце кожную асобу, звязаную з прыладай, ці гэта ключ партнёра, серыйны нумар сертыфіката або ўліковы запіс. Адклічце ў кожнай сістэме, што выдала дадзеныя, у парадку, у якім будуецца злучэнне, гэта значыць спачатку ўліковы запіс, потым сертыфікат, потым партнёр. Затым дакажыце адмову з машыны, якую вы кантралюеце.

Дзве наступныя дзеянні лёгка забыць. Па-першае, змяніце ўсё астатняе, што трымала прылада, асабліва ключы SSH, уліковыя дадзеныя хмарнай кансолі і агульны папярэдне агучаны ключ WireGuard. Па-другое, праверце, што кіраванне канфігурацыяй, здымкі стану або залатыя вобразы не могуць вярнуць выдалены кліент пры наступнай перазборцы.

Трывалае рашэнне — адна асоба на прыладу. Калі кожны ноўтбук нясе свой ключ партнёра або сертыфікат, страта каштуе адной каманды адклікання і перавыдачы, а не перазборкі ўсяго парку.