Как да отмените загубено VPN устройство: ключ, сертификат или акаунт

Лаптопът ви го няма, а VPN все още го изброява като клиент. Спешният въпрос не е как да изтриете профила на машина, която вече не притежавате, а коя самоличност сървърът все още приема. WireGuard проверява публичен ключ, настройка OpenVPN на базата на PKI проверява клиентски сертификат, а VPN с еднократно влизане проверява акаунт и неговия токен за сесия. Тези три се отменят на различни места, с различна скорост, и поправянето на едно, докато се игнорират другите, е начинът загубеното устройство да остане свързано.

Три самоличности и какво управлява всяка от тях

Всеки механизъм отговаря на различен въпрос. Ключът на партньор отговаря дали това е машината, която сте регистрирали. Сертификатът отговаря дали е бил подписан от вашия CA и дали не е отменен. Акаунтът отговаря дали този човек се е удостоверил достатъчно скоро. Внедряване, което наслагва два от тях, например сертификат плюс вход през директория, затваря вратата само когато на всеки слой, който е издал нещо на устройството, е казано да спре да го приема.

Практическият капан е, че липсващата машина държи частната половина на всяко удостоверение, така че нищо, което правите локално, не достига до сървъра.

WireGuard: премахнете партньора, защото няма списък за отменяне

WireGuard не поддържа списък за забрана. Интерфейсът приема точно публичните ключове, конфигурирани като партньори, така че отменянето е изтриване: изпълнете wg set wg0 peer <public-key> remove, формата, документирана в wg(8), след което изтрийте съответния блок [Peer] от wg0.conf. Направете и двете. Премахване само по време на работа оцелява до следващото рестартиране или презареждане на конфигурацията, при което файлът връща ключа.

Съществуващите сесии не се нуждаят от таймер, за да умрат. Премахването на партньора отпада ръкостискането и ключовия материал, така че трафикът спира веднага щом отново е необходима валидна двойка ключове. Проверете wg show wg0 latest-handshakes на сървъра: записът за загубения ключ трябва да изчезне и да остане изчезнал, докато другите партньори продължават да съобщават скорошни епохи.

Едно предупреждение е по-важно, отколкото изглежда. Ако загубеното устройство е споделяло ключ с други устройства, защото някой е копирал един конфигурационен файл, премахването на този ключ ги изключва всички; това все още е правилният ход и след това издавате ключове за всяко устройство поотделно, вместо да възстановявате споделения.

Сертификати: CRL има значение само ако демонът го чете

Достъпът на базата на сертификати добавя стъпка, която хората пропускат. easyrsa revoke laptop-01 маркира сертификата като отменен в базата на CA, но VPN не научава нищо от тази база. След това изпълнявате easyrsa gen-crl, за да запишете crl.pem, копирате го на пътя, посочен в опцията crl-verify на сървъра, и потвърждавате, че работещият демон използва новия файл. Отменяне без прегенериране и разпространение на CRL е безрезултатно.

Времето е втората половина. CRL се проверява, когато клиент се свързва или предоговаря, така че установен тунел може да продължи да препраща до тогава. Ако устройството трябва да бъде отрязано незабавно, прекратете тази сесия изрично през интерфейса за управление на OpenVPN, вместо да чакате следващото ръкостискане. Презареждането или рестартирането на услугата, в зависимост от това как внедряването зарежда CRL, е част от промяната, а не допълнителна опция.

Проверката си струва да се направи от друга машина: представете отменения сертификат и очаквайте провал на ръкостискането, обикновено VERIFY ERROR: depth=0, error=certificate revoked. Ако връзката все още успее, клиентът чете различен CRL от този, който сте обновили.

Акаунти и сесии: деактивирането не е същото като изгонване

Влизанията през директория или SSO се проверяват по време на удостоверяването. Деактивирането на акаунта блокира следващото влизане, но токенът за опресняване и установеният тунел може да продължат да работят, докато изтекат. Отменете сесиите и токените на този потребител или увеличете версията на сесията, ако доставчикът на самоличност го поддържа. Премахнете загубеното устройство и от регистрацията за MFA, тъй като регистриран автентикатор е самостоятелен път за достъп.

VPN на базата на RADIUS могат да изпратят съобщение за прекъсване или промяна на оторизацията, за да премахнат активна сесия, но не всеки сървър за мрежов достъп го спазва. При съмнение прекратете сесията на потребителя от страната на сървъра и потвърдете в журналите, че старата сесия е затворена.

Ред на действията за следващия час

Започнете от инвентара, не от клиента: изброете всяка самоличност, свързана с устройството, било то ключ на партньор, сериен номер на сертификат или акаунт. Отменете във всяка издаваща система в реда, в който се изгражда връзката, тоест първо акаунтът, после сертификатът, после партньорът. След това докажете отказа от машина, която контролирате.

Две последващи действия лесно се забравят. Първо, сменете всичко друго, което устройството е държало, особено SSH ключове, идентификационни данни за облачна конзола и споделен предварително споделен ключ на WireGuard. Второ, проверете дали управлението на конфигурацията, снимките на състоянието или златните образи не могат да върнат премахнатия клиент при следващото преизграждане.

Трайното решение е една самоличност на устройство. Когато всеки лаптоп носи свой ключ на партньор или сертификат, загубата струва една команда за отменяне и преиздаване, вместо преизграждане на целия парк.