Jak odvolat ztracené zařízení VPN: klíč, certifikát nebo účet

Váš notebook je pryč a VPN ho stále uvádí jako klienta. Naléhavá otázka nezní, jak smazat profil na stroji, který už nemáte, ale kterou identitu server ještě přijímá. WireGuard kontroluje veřejný klíč, konfigurace OpenVPN založená na PKI kontroluje klientský certifikát a VPN s jednotným přihlášením kontroluje účet a jeho relaci. Ty tři se odvolávají na různých místech, různou rychlostí, a oprava jedné při ignorování ostatních je způsob, jak ztracené zařízení zůstane připojené.

Tři identity a co každá z nich řídí

Každý mechanismus odpovídá na jinou otázku. Klíč partnera odpovídá, zda je to stroj, který jste zapsali. Certifikát odpovídá, zda byl podepsán vaší CA a nebyl odvolán. Účet odpovídá, zda se tato osoba dostatečně nedávno autentizovala. Nasazení, které vrství dva z nich, například certifikát plus přihlášení do adresáře, zavře dveře jen tehdy, když se každé vrstvě, která zařízení něco vydala, řekne, aby to přestala přijímat.

Praktická past spočívá v tom, že chybějící stroj drží soukromou polovinu každého pověřovacího údaje, takže nic, co uděláte lokálně, se na server nedostane.

WireGuard: odeberte partnera, protože neexistuje seznam odvolání

WireGuard nevede žádný seznam zákazů. Rozhraní přijímá přesně ty veřejné klíče nakonfigurované jako partneři, takže odvolání je smazání: spusťte wg set wg0 peer <public-key> remove, podobu zdokumentovanou v wg(8), potom smažte odpovídající blok [Peer] ze souboru wg0.conf. Udělejte obojí. Odebrání jen za běhu přežije do příštího restartu nebo znovunačtení konfigurace, kdy soubor klíč vrátí.

Stávající relace nepotřebují časovač, aby zanikly. Odebrání partnera zahodí jeho handshake a klíčový materiál, takže provoz se zastaví, jakmile je znovu vyžadován platný pár klíčů. Zkontrolujte wg show wg0 latest-handshakes na serveru: záznam ztraceného klíče by měl zmizet a zůstat pryč, zatímco ostatní partneři dál hlásí nedávné epochy.

Jedno upozornění je důležitější, než vypadá. Pokud ztracené zařízení sdílelo klíč s jinými zařízeními, protože někdo zkopíroval jeden konfigurační soubor, odebrání toho klíče odpojí všechna; i tak je to správný krok a poté vydáte klíče pro každé zařízení zvlášť místo obnovení sdíleného.

Certifikáty: CRL se počítá jen tehdy, když ji démon čte

Přístup založený na certifikátech přidává krok, který lidé přeskakují. easyrsa revoke laptop-01 označí certifikát jako odvolaný v databázi CA, ale VPN se z té databáze nic nedozví. Poté spustíte easyrsa gen-crl, abyste zapsali crl.pem, zkopírujete ho na cestu uvedenou v možnosti crl-verify serveru a potvrdíte, že běžící démon používá nový soubor. Odvolání bez opětovného vygenerování a distribuce CRL je bez účinku.

Časování je druhá polovina. CRL se kontroluje, když se klient připojí nebo znovu vyjednává, takže navázaný tunel může do té doby dál předávat. Pokud musí být zařízení okamžitě odříznuto, ukončete tuto relaci explicitně přes rozhraní pro správu OpenVPN, místo abyste čekali na další handshake. Znovunačtení nebo restart služby, podle toho, jak nasazení načítá CRL, je součástí změny, nikoli volitelným doplňkem.

Vyplatí se ověřit to z jiného stroje: předložte odvolaný certifikát a očekávejte selhání handshake, obvykle VERIFY ERROR: depth=0, error=certificate revoked. Pokud spojení přesto uspěje, klient čte jinou CRL, než kterou jste aktualizovali.

Účty a relace: deaktivace není totéž jako vyloučení

Přihlášení do adresáře nebo přes SSO se kontrolují v době autentizace. Deaktivace účtu zablokuje příští přihlášení, ale obnovovací token a navázaný tunel mohou fungovat dál, dokud nevyprší. Odvolejte relace a tokeny tohoto uživatele, nebo zvyšte verzi relace, pokud to poskytovatel identity podporuje. Odstraňte ztracené zařízení i z registrace MFA, protože registrovaný autentizátor je sám o sobě přístupovou cestou.

VPN na bázi RADIUS mohou poslat zprávu o odpojení nebo změnu autorizace, aby shodily aktivní relaci, ale ne každý server pro přístup k síti to respektuje. V případě pochybností ukončete relaci uživatele ze strany serveru a v protokolech potvrďte, že stará relace byla uzavřena.

Pořadí kroků na příští hodinu

Začněte od inventáře, ne od klienta: vypište každou identitu svázanou se zařízením, ať už klíč partnera, sériové číslo certifikátu nebo účet. Odvolejte v každém vydávajícím systému v pořadí, v jakém se spojení staví, tedy nejprve účet, potom certifikát, potom partner. Pak odmítnutí prokažte ze stroje, který ovládáte.

Dvě následné akce se snadno zapomenou. Za prvé, vyměňte vše ostatní, co zařízení drželo, zejména SSH klíče, přihlašovací údaje ke cloudové konzoli a sdílený předsdílený klíč WireGuard. Za druhé, zkontrolujte, že správa konfigurace, snímky nebo zlaté obrazy nemohou při příští přestavbě odstraněného klienta vrátit.

Trvalým řešením je jedna identita na zařízení. Když každý notebook nese svůj klíč partnera nebo certifikát, ztráta stojí jeden příkaz k odvolání a nové vydání místo přestavby celé flotily.