Sut i ddirymu dyfais VPN goll: allwedd, tystysgrif neu gyfrif

Mae eich gliniadur wedi mynd, ac mae’r VPN yn dal i’w restru fel cleient. Y cwestiwn brys nid yw sut i ddileu’r proffil ar beiriant nad oes gennych mwyach, ond pa hunaniaeth y mae’r gweinydd yn ei derbyn o hyd. Mae WireGuard yn gwirio allwedd gyhoeddus, mae cyfluniad OpenVPN sy’n seiliedig ar PKI yn gwirio tystysgrif cleient, ac mae VPN sy’n defnyddio SSO yn gwirio cyfrif a’i docyn sesiwn. Mae’r tri hynny’n cael eu dirymu mewn lleoedd gwahanol, ar gyflymder gwahanol, a thrwsio un wrth anwybyddu’r lleill yw sut mae dyfais goll yn aros yn gysylltiedig.

Tair hunaniaeth a beth mae pob un yn ei reoli

Mae pob mecanwaith yn ateb cwestiwn gwahanol. Mae allwedd cymar yn ateb ai dyma’r peiriant a gofrestroch. Mae tystysgrif yn ateb ai eich CA a’i llofnododd ac na chafodd ei dirymu. Mae cyfrif yn ateb a yw’r person hwn wedi dilysu’n ddigon diweddar. Nid yw defnydd sy’n gosod dwy ohonynt ar ben ei gilydd, er enghraifft tystysgrif ynghyd â mewngofnodi cyfeiriadur, yn cau’r drws nes bod pob haen a roddodd rywbeth i’r ddyfais wedi cael gorchymyn i roi’r gorau i’w dderbyn.

Y trap ymarferol yw bod y peiriant coll yn dal hanner preifat pob cymhwyster, felly nid oes dim a wnewch yn lleol yn cyrraedd y gweinydd.

WireGuard: tynnwch y cymar, oherwydd nid oes rhestr ddirymu

Nid yw WireGuard yn cadw unrhyw restr gwahardd. Mae’r rhyngwyneb yn derbyn yn union yr allweddi cyhoeddus a gyfluniwyd fel cymarau, felly dirymu yw dileu: rhedegwch wg set wg0 peer <public-key> remove, y ffurf a ddogfennwyd yn wg(8), yna dilëwch y bloc [Peer] cyfatebol o wg0.conf. Gwnewch y ddau. Mae tynnu yn unig ar amser rhedeg yn goroesi tan yr ailgychwyn neu’r ail-lwytho cyfluniad nesaf, ac yna mae’r ffeil yn rhoi’r allwedd yn ôl.

Nid oes angen amserydd ar sesiynau sy’n bodoli eisoes i farw. Mae tynnu’r cymar yn gollwng ei handshake a’i ddeunydd allwedd, felly mae’r traffig yn stopio cyn gynted ag y bydd angen pâr allwedd dilys eto. Gwiriwch wg show wg0 latest-handshakes ar y gweinydd: dylai cofnod yr allwedd goll ddiflannu ac aros yn absennol, tra bod y cymarau eraill yn parhau i adrodd epocau diweddar.

Mae un rhybudd yn bwysicach nag y mae’n edrych. Os oedd y ddyfais goll yn rhannu allwedd â dyfeisiau eraill oherwydd bod rhywun wedi copïo un ffeil gyfluniad, mae tynnu’r allwedd honno yn datgysylltu pob un ohonynt; dyna’r symudiad cywir o hyd, ac rydych wedyn yn ailgyhoeddi allweddi fesul dyfais yn lle adfer yr un a rennir.

Tystysgrifau: dim ond os yw’r daemon yn ei darllen y mae CRL yn cyfrif

Mae mynediad sy’n seiliedig ar dystysgrifau yn ychwanegu cam y mae pobl yn ei hepgor. Mae easyrsa revoke laptop-01 yn nodi’r dystysgrif fel un wedi’i dirymu yng nghronfa ddata’r CA, ond nid yw’r VPN yn dysgu dim o’r gronfa honno. Yna rhedwch easyrsa gen-crl i ysgrifennu crl.pem, copïwch ef i’r llwybr a enwir yn opsiwn crl-verify y gweinydd, a chadarnhewch fod y daemon sy’n rhedeg yn defnyddio’r ffeil newydd. Mae dirymu heb ailgynhyrchu a dosbarthu’r CRL yn ddi-ôl.

Amseru yw’r ail hanner. Ymgynghorir â CRL pan fydd cleient yn cysylltu neu’n aildrafod, felly gall twnnel sefydledig barhau i anfon hyd yna. Os rhaid torri’r ddyfais i ffwrdd ar unwaith, terfynwch y sesiwn honno’n eglur trwy ryngwyneb rheoli OpenVPN yn lle aros am y handshake nesaf. Mae ail-lwytho neu ailgychwyn y gwasanaeth, yn dibynnu ar sut mae’r defnydd yn llwytho’r CRL, yn rhan o’r newid ac nid yn ychwanegiad dewisol.

Mae’n werth gwneud y gwiriad o beiriant arall: cyflwynwch y dystysgrif ddirymedig a disgwylwch i’r handshake fethu, fel arfer VERIFY ERROR: depth=0, error=certificate revoked. Os yw’r cysylltiad yn dal i lwyddo, mae’r cleient yn darllen CRL gwahanol i’r un a ddiweddarwyd gennych.

Cyfrifon a sesiynau: nid yw analluogi yr un peth â thaflu allan

Mae mewngofnodi cyfeiriadur neu SSO yn cael eu gwirio ar adeg dilysu. Mae analluogi’r cyfrif yn rhwystro’r mewngofnodi nesaf, ond gall y tocyn adnewyddu a’r twnnel sefydledig barhau i weithio nes iddynt ddod i ben. Dirymwch sesiynau a thocynnau’r defnyddiwr hwnnw, neu godwch fersiwn sesiwn os yw’r darparwr hunaniaeth yn cefnogi hynny. Tynnwch y ddyfais goll o’r cofrestriad MFA hefyd, gan fod dilysydd cofrestredig yn llwybr mynediad ynddo’i hun.

Gall VPNau sy’n seiliedig ar RADIUS wthio neges datgysylltu neu newid awdurdodiad i ollwng sesiwn actif, ond nid yw pob gweinydd mynediad rhwydwaith yn anrhydeddu hynny. Os oes amheuaeth, terfynwch sesiwn y defnyddiwr o ochr y gweinydd a chadarnhau yn y logiau bod yr hen sesiwn wedi cau.

Trefn gweithrediadau ar gyfer yr awr nesaf

Dechreuwch o’r rhestr eiddo, nid o’r cleient: rhestrwch bob hunaniaeth sy’n gysylltiedig â’r ddyfais, boed allwedd cymar, rhif cyfresol tystysgrif neu gyfrif. Dirymwch ym mhob system sy’n cyhoeddi yn y drefn y mae’r cysylltiad yn cael ei adeiladu, sef cyfrif yn gyntaf, yna tystysgrif, yna cymar. Yna profwch y gwrthodiad o beiriant rydych yn ei reoli.

Mae dau ddilyniant yn hawdd i’w hanghofio. Yn gyntaf, cylchdroi unrhyw beth arall a oedd gan y ddyfais, yn enwedig allweddi SSH, cymwysterau consol y cwmwl ac allwedd rhannu ymlaen llaw WireGuard. Yn ail, gwiriwch na all rheolaeth cyfluniad, cipluniau neu ddelweddau aur ailosod y cleient a dynnwyd ar yr ailadeiladu nesaf.

Yr ateb parhaus yw un hunaniaeth fesul dyfais. Pan fydd pob gliniadur yn cario ei allwedd cymar neu ei dystysgrif ei hun, mae colled yn costio un gorchymyn dirymu ac ailgyhoeddi yn lle ailadeiladu’r fflyd gyfan.