Πώς να ανακαλέσετε μια χαμένη συσκευή VPN: κλειδί, πιστοποιητικό ή λογαριασμός

Ο φορητός σας υπολογιστής χάθηκε και το VPN τον εμφανίζει ακόμη ως πελάτη. Το επείγον ερώτημα δεν είναι πώς θα διαγράψετε το προφίλ σε ένα μηχάνημα που δεν έχετε πια, αλλά ποια ταυτότητα εξακολουθεί να δέχεται ο διακομιστής. Το WireGuard ελέγχει ένα δημόσιο κλειδί, μια ρύθμιση OpenVPN βασισμένη σε PKI ελέγχει πιστοποιητικό πελάτη, και ένα VPN με SSO ελέγχει λογαριασμό και το διακριτικό συνεδρίας του. Αυτά τα τρία ανακαλούνται σε διαφορετικά σημεία, με διαφορετική ταχύτητα, και το να διορθώσεις το ένα αγνοώντας τα άλλα είναι ο τρόπος με τον οποίο μια χαμένη συσκευή παραμένει συνδεδεμένη.

Τρεις ταυτότητες και τι ελέγχει καθεμία

Κάθε μηχανισμός απαντά σε διαφορετικό ερώτημα. Ένα κλειδί ομοτίμου απαντά αν αυτό είναι το μηχάνημα που καταχωρίσατε. Ένα πιστοποιητικό απαντά αν υπογράφηκε από την αρχή πιστοποίησης σας και δεν έχει ανακληθεί. Ένας λογαριασμός απαντά αν αυτό το άτομο πιστοποιήθηκε αρκετά πρόσφατα. Μια εγκατάσταση που επικαλύπτει δύο από αυτά, για παράδειγμα πιστοποιητικό συν σύνδεση καταλόγου, κλείνει την πόρτα μόνο όταν σε κάθε επίπεδο που εξέδωσε κάτι στη συσκευή έχει ειπωθεί να σταματήσει να το δέχεται.

Η πρακτική παγίδα είναι ότι το μηχάνημα που λείπει κρατά το ιδιωτικό μισό κάθε διαπιστευτηρίου, οπότε τίποτα από όσα κάνετε τοπικά δεν φτάνει στον διακομιστή.

WireGuard: αφαιρέστε το ομότιμο, γιατί δεν υπάρχει λίστα ανάκλησης

Το WireGuard δεν τηρεί λίστα αποκλεισμού. Η διεπαφή δέχεται ακριβώς τα δημόσια κλειδιά που έχουν ρυθμιστεί ως ομότιμα, άρα η ανάκληση είναι διαγραφή: εκτελέστε wg set wg0 peer <public-key> remove, τη μορφή που τεκμηριώνεται στο wg(8), και μετά διαγράψτε το αντίστοιχο μπλοκ [Peer] από το wg0.conf. Κάντε και τα δύο. Μια αφαίρεση μόνο κατά τον χρόνο εκτέλεσης επιβιώνει μέχρι την επόμενη επανεκκίνηση ή επαναφόρτωση ρυθμίσεων, οπότε το αρχείο επαναφέρει το κλειδί.

Οι υπάρχουσες συνεδρίες δεν χρειάζονται χρονόμετρο για να πεθάνουν. Η αφαίρεση του ομοτίμου απορρίπτει τη χειραψία και το υλικό κλειδιού του, άρα η κίνηση σταματά μόλις απαιτηθεί ξανά ένα έγκυρο ζεύγος κλειδιών. Ελέγξτε το wg show wg0 latest-handshakes στον διακομιστή: η καταχώριση του χαμένου κλειδιού πρέπει να εξαφανιστεί και να μείνει εξαφανισμένη, ενώ τα άλλα ομότιμα συνεχίζουν να αναφέρουν πρόσφατες εποχές.

Μια προειδοποίηση έχει μεγαλύτερη σημασία από ό,τι φαίνεται. Αν η χαμένη συσκευή μοιραζόταν κλειδί με άλλες συσκευές επειδή κάποιος αντέγραψε ένα αρχείο ρυθμίσεων, η αφαίρεση αυτού του κλειδιού τις αποσυνδέει όλες· αυτή παραμένει η σωστή κίνηση, και μετά εκδίδετε κλειδιά ανά συσκευή αντί να επαναφέρετε το κοινόχρηστο.

Πιστοποιητικά: μια CRL μετράει μόνο αν ο δαίμονας τη διαβάζει

Η πρόσβαση βάσει πιστοποιητικών προσθέτει ένα βήμα που οι άνθρωποι παραλείπουν. Το easyrsa revoke laptop-01 σημειώνει το πιστοποιητικό ως ανακλημένο στη βάση δεδομένων της αρχής πιστοποίησης, αλλά το VPN δεν μαθαίνει τίποτα από αυτή τη βάση. Στη συνέχεια εκτελείτε το easyrsa gen-crl για να γράψετε το crl.pem, το αντιγράφετε στη διαδρομή που ορίζεται στην επιλογή crl-verify του διακομιστή και επιβεβαιώνετε ότι ο ενεργός δαίμονας χρησιμοποιεί το νέο αρχείο. Η ανάκληση χωρίς αναδημιουργία και διανομή της CRL δεν έχει αποτέλεσμα.

Ο χρονισμός είναι το δεύτερο μισό. Μια CRL συμβουλεύεται όταν ένας πελάτης συνδέεται ή επαναδιαπραγματεύεται, άρα μια εγκατεστημένη σήραγγα μπορεί να συνεχίσει να προωθεί μέχρι τότε. Αν η συσκευή πρέπει να αποκοπεί αμέσως, τερματίστε αυτή τη συνεδρία ρητά μέσω της διεπαφής διαχείρισης του OpenVPN αντί να περιμένετε την επόμενη χειραψία. Η επαναφόρτωση ή επανεκκίνηση της υπηρεσίας, ανάλογα με το πώς η εγκατάσταση φορτώνει την CRL, είναι μέρος της αλλαγής και όχι προαιρετικό πρόσθετο.

Αξίζει να κάνετε την επαλήθευση από άλλο μηχάνημα: παρουσιάστε το ανακλημένο πιστοποιητικό και περιμένετε αποτυχία χειραψίας, συνήθως VERIFY ERROR: depth=0, error=certificate revoked. Αν η σύνδεση εξακολουθεί να πετυχαίνει, ο πελάτης διαβάζει διαφορετική CRL από αυτήν που ενημερώσατε.

Λογαριασμοί και συνεδρίες: η απενεργοποίηση δεν είναι το ίδιο με την εκδίωξη

Οι συνδέσεις καταλόγου ή SSO ελέγχονται τη στιγμή της πιστοποίησης. Η απενεργοποίηση του λογαριασμού μπλοκάρει την επόμενη σύνδεση, αλλά το διακριτικό ανανέωσης και η εγκατεστημένη σήραγγα μπορεί να συνεχίσουν να λειτουργούν μέχρι να λήξουν. Ανακαλέστε τις συνεδρίες και τα διακριτικά αυτού του χρήστη, ή αυξήστε την έκδοση συνεδρίας αν ο πάροχος ταυτότητας το υποστηρίζει. Αφαιρέστε τη χαμένη συσκευή και από την εγγραφή MFA, αφού ένας καταχωρισμένος επαληθευτής είναι από μόνος του δρόμος πρόσβασης.

Τα VPN με υποστήριξη RADIUS μπορούν να στείλουν μήνυμα αποσύνδεσης ή αλλαγή εξουσιοδότησης για να ρίξουν μια ενεργή συνεδρία, αλλά δεν το σέβεται κάθε διακομιστής πρόσβασης δικτύου. Σε αμφιβολία, τερματίστε τη συνεδρία του χρήστη από την πλευρά του διακομιστή και επιβεβαιώστε στα αρχεία καταγραφής ότι η παλιά συνεδρία έκλεισε.

Σειρά ενεργειών για την επόμενη ώρα

Ξεκινήστε από το απόθεμα, όχι από τον πελάτη: καταγράψτε κάθε ταυτότητα που συνδέεται με τη συσκευή, είτε κλειδί ομοτίμου είτε σειριακός αριθμός πιστοποιητικού είτε λογαριασμός. Ανακαλέστε σε κάθε σύστημα έκδοσης με τη σειρά που χτίζεται η σύνδεση, δηλαδή πρώτα λογαριασμός, μετά πιστοποιητικό, μετά ομότιμο. Μετά αποδείξτε την άρνηση από μηχάνημα που ελέγχετε.

Δύο επακόλουθα ξεχνιούνται εύκολα. Πρώτον, αλλάξτε οτιδήποτε άλλο κρατούσε η συσκευή, ειδικά κλειδιά SSH, διαπιστευτήρια κονσόλας cloud και ένα κοινόχρηστο προκαθορισμένο κλειδί WireGuard. Δεύτερον, ελέγξτε ότι η διαχείριση ρυθμίσεων, τα στιγμιότυπα ή οι χρυσές εικόνες δεν μπορούν να επανεισαγάγουν τον αφαιρεμένο πελάτη στην επόμενη ανακατασκευή.

Η διαρκής λύση είναι μία ταυτότητα ανά συσκευή. Όταν κάθε φορητός φέρει το δικό του κλειδί ομοτίμου ή πιστοποιητικό, μια απώλεια κοστίζει μία εντολή ανάκλησης και μια επανέκδοση αντί για ανακατασκευή ολόκληρου του στόλου.