Anstataŭigi likitan VPN-ŝlosilon: kion la servilo devas fari
Forigi la dosieron ŝanĝas nenion en la servilo. Anstataŭigo signifas novan identecon kiu funkcias kaj malnovan kiun la pordego efektive rifuzas, en tiu ordo.
Tekkomputilo portanta klientan ŝlosilon perdiĝis, kaj la unua ago kutime estas forigi la lokan kopion. Tio ŝanĝas nenion en la servilo, kiu ankoraŭ tenas rajtigon kiu akceptos tiun ŝlosilon ĝis iu forigos ĝin. Anstataŭigo estas du operacioj, kaj nur la dua koncernas la malnovan akreditaĵon.
La loka kopio ne estas la aŭtoritato
VPN-akreditaĵo estas akceptata ĉar la servila agordo tion diras. Por atestiloj tio signifas ke la atestilo ĉeniĝas al fidinda eldonanto kaj ne aperas en revoka listo kiun la pordego konsultas. Por WireGuard tio signifas ke la publika ŝlosilo de la partnero aperas en la interfaca agordo. Forigi dosieron en kliento forigas unu kopion de sekreto kaj lasas la akceptan regulon netuŝita.
Jen kial ŝtelita ŝlosilo daŭre funkcias post la evidenta purigado, kaj kial la okazaĵo ŝajnas nesolvita eĉ kiam la nova agordo estas instalita.
Komencu de la regulo de la servilo, poste laboru eksteren al la kliento.
Atestiloj: la servilo tenas la decidon
Eldonu la anstataŭon per la propra procezo de la eldonanto por ke la nova identeco estu registrita, poste retiru la malnovan per subskribita revoko. La pordego devas esti agordita konsulti tiun revokan fonton kaj devas reŝargi ĝin, alie la dosiero restas sur la disko dum la tunelo daŭre akceptas la malnovan serian numeron. Aktivaj seancoj ankaŭ povas postvivi ĝis reinterpretigo, do planu rekonekton.
Konfirmu ke la anstataŭo funkcias por la celita aplikaĵo, poste konfirmu per aprobita procezo ke la retirita atestilo ne plu starigas aliron.
Tio estas du malsamaj testoj kaj ambaŭ necesas. RFC 5280 difinas la atestilan kaj revokan semantikon sur kiu la pordego apogiĝas.
WireGuard: la partnera ŝlosilo estas la identeco
WireGuard ne havas atestilan tavolon: la publika ŝlosilo de la partnero estas la identeco, kaj la allowed-ips-enskribo de la servilo estas la rajtigo. Forigi la malnovan partneron el la interfaca agordo estas la revoko, kaj ĝi validas tuj por novaj manpremoj.
Ekzistantaj seancoj finiĝas kiam la sekva manpremo malsukcesas, kio kutime okazas ene de kelkaj minutoj kaj ne tuj.
Distribuu la novan agordon per kanalo kiun vi konfidus al pasvorto, ĉar la privata ŝlosilo estas la akreditaĵo. Tenu unu ŝlosilon por aparato, por ke unu perdita aparato ne devigu ĉiujn aparatojn ŝanĝiĝi.
Kio alie estis en tiu pako
Klienta pako ofte portas pli ol la privatan ŝlosilon: statikan TLS-ŝlosilon, uzantnomon kaj pasvorton, antaŭe dividitan sekreton aŭ provizitan ĵetonon. Limigu la okazaĵon al tio kio efektive malkaŝiĝis kaj rotaciu ankaŭ tiujn erojn. Rotacii la atestilon dum dividita statika ŝlosilo restas surloke fermas unu pordon kaj lasas alian malfermita.
Se la pako estis dividita inter aparatoj, ĉiu aparato portanta ĝin heredas la elmeton.
Notu kio estis rotaciita, ĉar la sekva revizio demandos.
Pruvu la rifuzon, poste registru la anstataŭon
La anstataŭo estas kompleta kiam validas du faktoj: la nova identeco funkcias por la celita servo, kaj la malnova estas rifuzata. Kontrolu la duan per la retirita akreditaĵo el testa medio, aŭ per kontrolita provo kiun la organizo aprobas, kaj legu la protokolojn de la pordego por konfirmi ke la rifuzo venis el politiko kaj ne el tajperaro. Poste registru la malnovan identigilon, la novan kaj la tempon de la ŝanĝo, ĉar tiuj tri valoroj estas kion revizoro bezonas por rekonstrui ĝin. Nenio alia en la bileto klarigos la breĉon.
Tenu privatajn ŝlosilojn ekster biletoj kaj babilado, kaj forigu malmodernajn eksportaĵojn el konservado kaj sekurkopioj laŭ politiko.
Anstataŭo sen rifuza testo estas supozo kaj ne riparo.