Com revocar un dispositiu VPN perdut: clau, certificat o compte

El teu portàtil ha desaparegut i la VPN encara el llista com a client. La pregunta urgent no és com esborrar el perfil en una màquina que ja no tens, sinó quina identitat continua acceptant el servidor. WireGuard comprova una clau pública, una configuració OpenVPN basada en PKI comprova un certificat de client, i una VPN amb SSO comprova un compte i el seu testimoni de sessió. Aquestes tres es revoquen en llocs diferents, a velocitats diferents, i arreglar-ne una tot ignorant les altres és com un dispositiu perdut continua connectat.

Tres identitats i què controla cadascuna

Cada mecanisme respon una pregunta diferent. Una clau de parell respon si aquesta és la màquina que vas inscriure. Un certificat respon si el va signar la teva CA i no s’ha revocat. Un compte respon si aquesta persona s’ha autenticat prou recentment. Un desplegament que n’apila dos, per exemple certificat més inici de sessió al directori, només tanca la porta quan s’ha dit a cada capa que va emetre alguna cosa al dispositiu que deixi d’acceptar-ho.

La trampa pràctica és que la màquina absent guarda la meitat privada de cada credencial, així que res del que facis localment arriba al servidor.

WireGuard: elimina el parell, perquè no hi ha llista de revocació

WireGuard no manté cap llista de denegació. La interfície accepta exactament les claus públiques configurades com a parells, així que revocar és esborrar: executa wg set wg0 peer <public-key> remove, la forma documentada a wg(8), i després esborra el bloc [Peer] corresponent de wg0.conf. Fes les dues coses. Una eliminació només en temps d’execució sobreviu fins al proper reinici o recàrrega de la configuració, moment en què el fitxer torna a posar la clau.

Les sessions existents no necessiten un temporitzador per morir. Eliminar el parell descarta el seu handshake i el material de clau, així que el trànsit s’atura tan bon punt es torna a requerir un parell de claus vàlid. Comprova wg show wg0 latest-handshakes al servidor: l’entrada de la clau perduda hauria de desaparèixer i quedar-se fora, mentre els altres parells continuen informant èpoques recents.

Un advertiment importa més del que sembla. Si el dispositiu perdut compartia una clau amb altres dispositius perquè algú va copiar un fitxer de configuració, eliminar aquesta clau els desconnecta tots; segueix sent el moviment correcte, i després reemet claus per dispositiu en lloc de restaurar la compartida.

Certificats: una CRL només compta si el dimoni la llegeix

L’accés basat en certificats afegeix un pas que la gent s’estalvia. easyrsa revoke laptop-01 marca el certificat com a revocat a la base de dades de la CA, però la VPN no n’aprèn res. Després executes easyrsa gen-crl per escriure crl.pem, el copies a la ruta indicada a l’opció crl-verify del servidor i confirmes que el dimoni en marxa fa servir el fitxer nou. Revocar sense regenerar i distribuir la CRL no fa res.

El moment és l’altra meitat. Una CRL es consulta quan un client es connecta o renegocia, així que un túnel establert pot continuar reenviant fins llavors. Si el dispositiu s’ha de tallar immediatament, acaba aquesta sessió explícitament per la interfície de gestió d’OpenVPN en lloc d’esperar el proper handshake. Recarregar o reiniciar el servei, segons com el desplegament carrega la CRL, forma part del canvi i no és un extra opcional.

Val la pena verificar-ho des d’una altra màquina: presenta el certificat revocat i espera un handshake fallit, normalment VERIFY ERROR: depth=0, error=certificate revoked. Si la connexió continua tenint èxit, el client llegeix una CRL diferent de la que has actualitzat.

Comptes i sessions: desactivar no és el mateix que expulsar

Els inicis de sessió al directori o per SSO es comproven en el moment de l’autenticació. Desactivar el compte bloqueja el proper inici de sessió, però el testimoni de refresc i el túnel establert poden continuar funcionant fins que caduquin. Revoca les sessions i els testimonis d’aquest usuari, o puja la versió de sessió si el proveïdor d’identitat ho admet. Treu també el dispositiu perdut de l’enregistrament MFA, ja que un autenticador registrat és una via d’accés per si mateix.

Les VPN amb RADIUS poden enviar un missatge de desconnexió o un canvi d’autorització per fer caure una sessió activa, però no tots els servidors d’accés a la xarxa ho respecten. En cas de dubte, acaba la sessió de l’usuari des del costat del servidor i confirma als registres que la sessió antiga s’ha tancat.

Ordre d’operacions per a la propera hora

Comença per l’inventari, no pel client: llista cada identitat lligada al dispositiu, sigui clau de parell, número de sèrie de certificat o compte. Revoca a cada sistema emissor en l’ordre en què es construeix la connexió, és a dir, primer el compte, després el certificat i després el parell. Després demostra la negativa des d’una màquina que controlis.

Dos seguiments són fàcils d’oblidar. Primer, rota qualsevol altra cosa que el dispositiu guardés, sobretot claus SSH, credencials de consola al núvol i una clau prèviament compartida de WireGuard. Segon, comprova que la gestió de configuració, les instantànies o les imatges daurades no puguin reintroduir el client eliminat a la propera reconstrucció.

La solució duradora és una identitat per dispositiu. Quan cada portàtil porta la seva clau de parell o certificat, una pèrdua costa una ordre de revocació i una reemissió en lloc de reconstruir tota la flota.