Én VPN-identitet per enhed: hvorfor deling ødelægger fjernelse

Én profil kopieret til en bærbar computer, en telefon og en tablet fungerer fint, indtil en af dem forsvinder. På det tidspunkt er valget at afbryde hver enhed, der deler identiteten, eller at lade den uønskede adgang blive. Begge muligheder er værre end de ti minutter, det ville have taget at udstede tre identiteter. Mekanismen er ikke kompliceret: en VPN-peer er en autorisationspost, og én post per enhed er det, der gør fjernelse til en enkelt præcis handling.

Hvad en delt profil deler

Kopiering af en privat nøgle kopierer hele autorisationen: peer-posteringen, tunneladressen og de ruter og politikker, der er knyttet til den. Serveren kan ikke skelne kopierne, fordi protokollen identificerer en peer efter nøgle og ikke efter enhed. Hver loglinje, hver grænse og hver tilbagekaldelsesbeslutning gælder for gruppen. En delt profil er derfor ikke en bekvemmelighed med en lille sikkerhedsomkostning, den er et enkelt fejlpunkt med flere enheder knyttet til sig.

Samme logik gælder for en delt konto, der rummer ét certifikat.

Tildel gennem den identitetsmodel, du har

En WireGuard-udrulning kan autorisere forskellige peer-nøgler, én per enhed. En certifikatbaseret udrulning kan udstede individuelle klientcertifikater fra sin egen myndighed. Et kontosystem kan kombinere en bruger med separate enhedsposter, afhængigt af produktet. Brug operatørens understøttede registreringsproces, fordi generering af en ny lokal hemmelighed ikke gør noget, før peeren eller gatewayen anerkender den tilsvarende autorisation.

Den understøttede vej er også den, der overlever næste opgradering.

Oversigt uden hemmeligheder

Hold enhedsmærket, den offentlige identifikator og ejeren i en oversigt, du kan søge i. Kopier ikke private nøgler ind i den oversigt, fordi det gør en aktivliste til et lager af legitimationsoplysninger.

En række, der siger “Anas bærbare computer, peerens offentlige nøgle, udstedt 12. marts”, er nok at handle på.

Fjernelse er en procedure, ikke en knap

Noter, hvordan man deaktiverer præcis én enhed, og om en aktiv session kræver et separat nedlukningstrin. Kontroller vedvarende, så en genstart eller en gammel konfigurationsbackup ikke genindfører autorisationen. Bekræft, at fjernelsen virkede ved at forsøge at forbinde fra den fjernede enhed. Tjek derefter, om noget andet henviste til den identitet, såsom en overvågningssonde eller en delt rute.

Det trin, folk springer over, er det sidste, og det er det eneste, der beviser ændringen.

Udskiftningsrækkefølge

Udsted den nye enhed først, verificér den mod den ressource, den skal bruge, og pensionér derefter den gamle. Undtagelsen er eksponering: hvis den gamle enhed kan være i andres hænder, skal du fjerne den først og acceptere afbrydelsen.

Uanset hvad, gennemgå gemte eksporter på det pensionerede hardware, før det forlader bygningen.

Hvad separate identiteter giver dig

Tre ting, og hver af dem viser sig under en hændelse:

• Tilbagekald én enhed uden at røre de andre.
• Henfør en forbindelse til en enhed, ikke til en gruppe.
• Forklar en fejl uden at indsamle alles aktivitet.

Operatørens vejledning er autoriteten for dens egen tildelingsmodel, hvad enten det er nøgler per peer som i WireGuard-hurtigstarten eller individuelle certifikater fra en lokal myndighed. Særskilte poster er forskellen mellem en flåde, du kan ræsonnere om, og en flåde, du kun kan nulstille.