Una identitat VPN per dispositiu: per què compartir trenca l’eliminació

Un perfil copiat en un portàtil, un telèfon i una tauleta funciona bé fins que un d’ells es perd. En aquest punt, l’elecció és interrompre cada dispositiu que comparteix la identitat o deixar l’accés no desitjat al seu lloc. Totes dues opcions són pitjors que els deu minuts que hauria costat emetre tres identitats. El mecanisme no és complicat: un parell VPN és un registre d’autorització, i un registre per dispositiu és el que converteix l’eliminació en una sola acció precisa.

Què comparteix un perfil compartit

Copiar una clau privada copia tota l’autorització: l’entrada del parell, l’adreça del túnel i les rutes i polítiques que hi estan adjuntes. El servidor no pot distingir les còpies, perquè el protocol identifica un parell per la clau i no pel dispositiu. Cada línia de registre, cada límit i cada decisió de revocació s’apliquen al grup. Per tant, un perfil compartit no és una comoditat amb un petit cost de seguretat, sinó un punt únic de fallada amb diversos dispositius adjunts.

La mateixa lògica s’aplica a un compte compartit amb un sol certificat.

Proveïu amb el model d’identitat que teniu

Un desplegament de WireGuard pot autoritzar claus de parell diferents, una per dispositiu. Un desplegament basat en certificats pot emetre certificats de client individuals des de la seva pròpia autoritat. Un sistema de comptes pot combinar un usuari amb registres de dispositiu separats, segons el producte. Feu servir el procés d’alta que admet l’operador, perquè generar un secret local nou no fa res fins que el parell o la passarel·la reconeixen l’autorització corresponent.

La via admesa és també la que sobreviu a la propera actualització.

Inventari sense secrets

Manteniu l’etiqueta del dispositiu, l’identificador públic i el propietari en un inventari que pugueu cercar. No copieu claus privades en aquest inventari, perquè converteix una llista d’actius en un magatzem de credencials.

Una fila que digui «Portàtil de l’Ana, clau pública del parell, emesa el 12 de març» ja és prou per actuar.

L’eliminació és un procediment, no un botó

Anoteu com desactivar exactament un dispositiu i si una sessió activa necessita un pas de terminació a part. Comproveu la persistència, perquè un reinici o una còpia de seguretat antiga de la configuració no tornin a introduir l’autorització. Confirmeu que l’eliminació ha fet efecte provant de connectar-vos des del dispositiu eliminat. Després comproveu si alguna altra cosa feia referència a aquesta identitat, com una sonda de monitoratge o una ruta compartida.

El pas que la gent s’salta és l’últim, i és l’únic que demostra el canvi.

Ordre de substitució

Emeteu primer el dispositiu nou, verifiqueu-lo contra el recurs que necessita i després retireu el vell. L’excepció és l’exposició: si el dispositiu vell pot ser a mans d’una altra persona, retireu-lo primer i accepteu la interrupció.

De qualsevol manera, reviseu les exportacions desades al maquinari retirat abans que surti de l’edifici.

Què us donen les identitats separades

Tres coses, i cadascuna apareix durant un incident:

• Revocar un dispositiu sense tocar els altres.
• Atribuir una connexió a un dispositiu, no a un grup.
• Explicar una fallada sense recollir l’activitat de tothom.

L’orientació de l’operador és l’autoritat sobre el seu propi model de provisió, tant si són claus per parell com a l’inici ràpid de WireGuard com certificats individuals d’una autoritat local. Els registres diferents són la diferència entre una flota sobre la qual podeu raonar i una flota que només podeu reiniciar.