Една самоличност на VPN за устройство: защо споделянето чупи премахването

Един профил, копиран на лаптоп, телефон и таблет, работи добре, докато един от тях не се загуби. В този момент изборът е да прекъснете всяко устройство, което споделя самоличността, или да оставите нежелания достъп на място. И двата варианта са по-лоши от десетте минути, нужни за издаването на три самоличности. Механизмът не е сложен: VPN партньорът е запис за оторизация и един запис на устройство е това, което превръща премахването в едно точно действие.

Какво споделя споделеният профил

Копирането на частен ключ копира цялата оторизация: записа на партньора, адреса на тунела и всички маршрути и политики, прикачени към него. Сървърът не може да различи копията, защото протоколът идентифицира партньора по ключ, а не по устройство. Всеки ред в журнала, всяко ограничение и всяко решение за отнемане се отнасят за групата. Затова споделеният профил не е удобство с малка цена за сигурността, а единична точка на отказ с няколко прикачени устройства.

Същата логика важи за споделен акаунт с един сертификат.

Осигуряване чрез модела на самоличност, който имате

Внедряване на WireGuard може да оторизира отделни ключове на партньори, по един на устройство. Внедряване на базата на сертификати може да издава индивидуални клиентски сертификати от собствения си орган. Система за акаунти може да съчетава потребител с отделни записи на устройства, в зависимост от продукта. Използвайте поддържания от оператора процес на записване, защото генерирането на нова локална тайна не прави нищо, докато партньорът или шлюзът не разпознаят съответната оторизация.

Поддържаният път е и този, който оцелява след следващото обновяване.

Инвентар без тайни

Пазете етикета на устройството, публичния идентификатор и собственика в инвентар, в който можете да търсите. Не копирайте частни ключове в този инвентар, защото това превръща списък с активи в хранилище за удостоверения.

Ред „Лаптопът на Ана, публичен ключ на партньора, издаден на 12 март“ е достатъчен, за да се действа.

Премахването е процедура, не бутон

Запишете как да деактивирате точно едно устройство и дали активната сесия се нуждае от отделна стъпка за прекратяване. Проверете устойчивостта, за да не върне рестарт или стар резервен архив на конфигурацията оторизацията. Потвърдете, че премахването е подействало, като опитате да се свържете от премахнатото устройство. След това проверете дали нещо друго е реферирало тази самоличност, например сонда за мониторинг или споделен маршрут.

Стъпката, която хората прескачат, е последната и е единствената, която доказва промяната.

Ред на замяна

Издайте първо новото устройство, проверете го спрямо ресурса, който му трябва, след което изведете старото. Изключението е излагането: ако старото устройство може да е в чужди ръце, премахнете го първо и приемете прекъсването.

Във всеки случай прегледайте запазените експорти на изведената техника, преди тя да напусне сградата.

Какво ви дават отделните самоличности

Три неща и всяко от тях се показва по време на инцидент:

• Отнемане на достъп на едно устройство, без да се засягат останалите.
• Приписване на връзка на устройство, а не на група.
• Обяснение на отказ, без да се събира активността на всички.

Насоките на оператора са авторитетът за собствения му модел на осигуряване, независимо дали са ключове за всеки партньор, както в бързото начало на WireGuard, или индивидуални сертификати от локален орган. Отделните записи са разликата между парк, за който можете да разсъждавате, и парк, който можете само да нулирате.