Unu VPN-idento por aparato: kial kunhavigo rompas forigon
Komunhavigita privata profilo faras revokadon ĉio-aŭ-nenio. Eldonu unu identon por aparato, tenu inventaron kaj ekzercu forigon de unu sola aparato.
Unu profilo kopiita al tekkomputilo, telefono kaj tabulo funkcias bone ĝis unu el ili perdiĝas. En tiu momento la elekto estas ĉesigi ĉiun aparaton, kiu kunhavigas la identon, aŭ lasi la nedeziratan aliron surloke. Ambaŭ ebloj estas pli malbonaj ol la dek minutoj, kiujn kostus eldoni tri identojn. La mekanismo ne estas komplika: VPN-partnero estas rajtiga rikordo, kaj unu rikordo por aparato estas tio, kio ŝanĝas forigon en unu precizan agon.
Kion kunhavigas kunhavigita profilo
Kopii privatan ŝlosilon kopias la tutan rajtigon: la partineran enskribon, la tunelan adreson kaj ĉiujn vojojn kaj politikojn ligitajn al ĝi. La servilo ne povas distingi la kopiojn, ĉar la protokolo identigas partneron per ŝlosilo, ne per aparato. Ĉiu loglinio, ĉiu limo kaj ĉiu revoka decido validas por la grupo. Kunhavigita profilo do ne estas oportunaĵo kun malgranda sekureca kosto, ĝi estas unu sola punkto de paneo kun pluraj aparatoj alligitaj.
La sama logiko validas por kunhavigita konto tenanta unu atestilon.
Provizu per la identa modelo, kiun vi havas
WireGuard-instalaĵo povas rajtigi apartajn partinerajn ŝlosilojn, unu por aparato. Atestila instalaĵo povas eldoni individuajn klientajn atestilojn el sia propra aŭtoritato. Konta sistemo povas kombini uzanton kun apartaj aparataj rikordoj, laŭ la produkto. Uzu la subtenatan aliĝproceson de la funkciigisto, ĉar generi novan lokan sekreton faras nenion ĝis la partnero aŭ la enirejo agnoskas la kongruan rajtigon.
La subtenata vojo estas ankaŭ tiu, kiu postvivos la sekvan ĝisdatigon.
Inventaro sen sekretoj
Tenu la aparatan etikedon, la publikan identigilon kaj la posedanton en inventaro, kiun vi povas serĉi. Ne kopiu privatajn ŝlosilojn en tiun inventaron, ĉar tio ŝanĝas aktivan liston en konservejon de legitimiloj.
Vico diranta “Tekkomputilo de Ana, publika partinera ŝlosilo, eldonita la 12-an de marto” sufiĉas por agi.
Forigo estas proceduro, ne butono
Notu, kiel malŝalti precize unu aparaton kaj ĉu aktiva seanco bezonas apartan finigan paŝon. Kontrolu daŭrecon, por ke restartiĝo aŭ malnova sekurkopio de agordo ne reenkonduku la rajtigon. Konfirmu, ke la forigo efikis, provante konektiĝi de la forigita aparato. Poste kontrolu, ĉu io alia referencis tiun identon, ekzemple monitora sondilo aŭ kunhavigita vojo.
La paŝo, kiun homoj preterlasas, estas la lasta, kaj ĝi estas la sola, kiu pruvas la ŝanĝon.
Anstataŭiga ordo
Eldonu unue la novan aparaton, kontrolu ĝin kontraŭ la rimedo, kiun ĝi bezonas, poste emeritigu la malnovan. La escepto estas elmetiĝo: se la malnova aparato povas esti en fremdaj manoj, forigu ĝin unue kaj akceptu la interrompon.
Ĉiukaze, revizuu konservitajn eksportojn en la emeritigita aparataro antaŭ ol ĝi forlasas la konstruaĵon.
Kion donas apartaj identoj
Tri aferoj, kaj ĉiu aperas dum incidento:
- Revoki unu aparaton sen tuŝi la aliajn.
- Atribui konekton al aparato, ne al grupo.
- Klarigi paneon sen kolekti la aktivecon de ĉiuj.
La gvidlinioj de la funkciigisto estas la aŭtoritato pri sia propra provizmodelo, ĉu ŝlosiloj por partnero kiel en la rapida komenco de WireGuard ĉu individuaj atestiloj de loka aŭtoritato. Apartaj rikordoj estas la diferenco inter floto, pri kiu vi povas rezonadi, kaj floto, kiun vi nur povas restarigi.