Jedna identita VPN na zařízení: proč sdílení kazí odebrání

Jeden profil zkopírovaný do notebooku, telefonu a tabletu funguje dobře, dokud se jeden z nich neztratí. V tu chvíli je volba buď přerušit každé zařízení, které identitu sdílí, nebo ponechat nežádoucí přístup na místě. Obě možnosti jsou horší než těch deset minut, které by zabralo vydat tři identity. Mechanismus není složitý: VPN peer je záznam o autorizaci a jeden záznam na zařízení je to, co mění odebrání v jedinou přesnou akci.

Co sdílený profil sdílí

Kopírování soukromého klíče kopíruje celou autorizaci: položku peeru, adresu tunelu a všechny trasy a zásady, které jsou k ní připojeny. Server nedokáže kopie rozlišit, protože protokol identifikuje peer podle klíče, nikoli podle zařízení. Každý řádek logu, každý limit a každé rozhodnutí o odvolání platí pro skupinu. Sdílený profil proto není pohodlí s malou bezpečnostní cenou, je to jediný bod selhání s několika připojenými zařízeními.

Stejná logika platí pro sdílený účet s jedním certifikátem.

Zřizujte podle modelu identity, který máte

Nasazení WireGuard může autorizovat samostatné klíče peerů, jeden na zařízení. Nasazení založené na certifikátech může vydávat jednotlivé klientské certifikáty z vlastní autority. Účtový systém může kombinovat uživatele se samostatnými záznamy zařízení, podle produktu. Použijte operátorem podporovaný proces registrace, protože vytvoření nového místního tajemství nic neudělá, dokud peer nebo brána nerozpozná odpovídající autorizaci.

Podporovaná cesta je také ta, která přežije příští upgrade.

Inventář bez tajemství

Udržujte označení zařízení, veřejný identifikátor a vlastníka v inventáři, který umíte prohledat. Nekopírujte do něj soukromé klíče, protože tím se seznam aktiv změní na úložiště přihlašovacích údajů.

Řádek „Anin notebook, veřejný klíč peeru, vydáno 12. března“ stačí k tomu, abyste mohli jednat.

Odebrání je postup, ne tlačítko

Zapište, jak zakázat přesně jedno zařízení a zda aktivní relace potřebuje samostatný krok ukončení. Zkontrolujte trvalost, aby restart nebo stará záloha konfigurace autorizaci nezavedly znovu. Potvrďte, že odebrání zabralo, pokusem připojit se z odebraného zařízení. Pak zkontrolujte, zda na tuto identitu neodkazovalo něco dalšího, například monitorovací sonda nebo sdílená trasa.

Krok, který lidé přeskakují, je ten poslední, a je jediný, který změnu dokazuje.

Pořadí výměny

Nejprve vydejte nové zařízení, ověřte ho proti zdroji, který potřebuje, a potom vyřaďte staré. Výjimkou je vystavení: pokud staré zařízení může být v cizích rukou, odeberte ho nejdřív a přijměte přerušení.

V každém případě před odchodem z budovy zkontrolujte uložené exporty na vyřazeném hardwaru.

Co vám oddělené identity přinesou

Tři věci a každá se ukáže během incidentu:

• Odvolat jedno zařízení, aniž byste se dotkli ostatních.
• Přiřadit spojení zařízení, ne skupině.
• Vysvětlit selhání bez sběru aktivity všech.

Pokyny operátora jsou autoritou pro jeho vlastní model zřizování, ať už jde o klíče pro každý peer jako v rychlém startu WireGuard, nebo o jednotlivé certifikáty od místní autority. Odlišné záznamy jsou rozdílem mezi flotilou, o které můžete uvažovat, a flotilou, kterou můžete jen resetovat.