Kiel revoki perditan VPN-aparaton: ŝlosilo, atestilo aŭ konto

Via tekkomputilo malaperis, kaj la VPN ankoraŭ listigas ĝin kiel klienton. La urĝa demando ne estas kiel forigi la profilon sur maŝino, kiun vi ne plu havas, sed kiun identecon la servilo ankoraŭ akceptas. WireGuard kontrolas publikan ŝlosilon, PKI-bazita OpenVPN agordo kontrolas klientan atestilon, kaj VPN kun SSO kontrolas konton kaj ĝian seanctokenon. Tiuj tri revokiĝas en malsamaj lokoj, je malsamaj rapidoj, kaj ripari unu ignorante la aliajn estas kiel perdita aparato restas konektita.

Tri identecoj kaj kion ĉiu el ili regas

Ĉiu mekanismo respondas al malsama demando. Parta ŝlosilo respondas, ĉu temas pri la maŝino, kiun vi registris. Atestilo respondas, ĉu ĝi estis subskribita de via CA kaj ne revokita. Konto respondas, ĉu ĉi tiu persono aŭtentikigis sufiĉe freŝdate. Enkonduko, kiu tavoligas du el ili, ekzemple atestilo plus dosieruja ensaluto, fermas la pordon nur kiam al ĉiu tavolo, kiu eldonis ion al la aparato, estas dirite ĉesi akcepti ĝin.

La praktika kaptilo estas, ke la mankanta maŝino tenas la privatan duonon de ĉiu legitimilo, do nenio, kion vi faras loke, atingas la servilon.

WireGuard: forigu la parton, ĉar ne ekzistas revoka listo

WireGuard ne tenas malpermesan liston. La interfaco akceptas precize la publikajn ŝlosilojn agorditajn kiel partoj, do revoko estas forigo: rulu wg set wg0 peer <public-key> remove, la formon dokumentitan en wg(8), poste forigu la respondan blokon [Peer] el wg0.conf. Faru ambaŭ. Forigo nur dum plenumtempo postvivas ĝis la sekva restartigo aŭ reagordo de la agordo, kiam la dosiero remetas la ŝlosilon.

Ekzistantaj seancoj ne bezonas tempon por morti. Forigo de la parto forĵetas ĝian manpremon kaj ŝlosilmaterialon, do trafiko haltas tuj kiam denove necesas valida ŝlosilparo. Kontrolu wg show wg0 latest-handshakes sur la servilo: la ero por la perdita ŝlosilo devus malaperi kaj resti malaperinta, dum la aliaj partoj daŭre raportas freŝajn epokojn.

Unu averto gravas pli ol ĝi ŝajnas. Se la perdita aparato dividis ŝlosilon kun aliaj aparatoj ĉar iu kopiis unu agordan dosieron, forigo de tiu ŝlosilo malkonektas ĉiujn; tio tamen estas la ĝusta movo, kaj poste vi eldonas ŝlosilojn por ĉiu aparato anstataŭ restarigi la komunan.

Atestiloj: CRL validas nur se la demono legas ĝin

Atestilbaza aliro aldonas paŝon, kiun homoj preterlasas. easyrsa revoke laptop-01 markas la atestilon kiel revokitan en la CA-datumbazo, sed la VPN lernas nenion el tiu datumbazo. Poste vi rulas easyrsa gen-crl por skribi crl.pem, kopias ĝin al la vojo nomita en la opcio crl-verify de la servilo, kaj konfirmas, ke la kuranta demono uzas la novan dosieron. Revoki sen regeneri kaj disdoni la CRL estas senefika.

Tempigo estas la dua duono. CRL estas konsultata kiam kliento konektas aŭ reintertraktas, do establita tunelo povas daŭre plusendi ĝis tiam. Se la aparato devas esti fortranĉita tuj, finu tiun seancon eksplicite per la OpenVPN-administra interfaco anstataŭ atendi la sekvan manpremon. Reŝargi aŭ restartigi la servon, laŭ kiel la enkonduko ŝargas la CRL, estas parto de la ŝanĝo kaj ne laŭvola aldono.

Indas fari la kontrolon el alia maŝino: prezentu la revokitan atestilon kaj atendu manpreman malsukceson, kutime VERIFY ERROR: depth=0, error=certificate revoked. Se la konekto tamen sukcesas, la kliento legas alian CRL ol tiun, kiun vi ĝisdatigis.

Kontoj kaj seancoj: malŝalti ne samas al elpeli

Dosierujaj aŭ SSO-ensalutoj kontroliĝas ĉe aŭtentikiga tempo. Malŝalti la konton blokas la sekvan ensaluton, sed la refreŝiga tokeno kaj la establita tunelo povas daŭre funkcii ĝis ili eksvalidiĝos. Revoku la seancojn kaj tokenojn de tiu uzanto, aŭ plialtigu seanco-version se la identeca provizanto subtenas tion. Forigu la perditan aparaton ankaŭ el la MFA-registriĝo, ĉar registrita aŭtentikigilo estas memstara alirvojo.

RADIUS-bazitaj VPN-oj povas puŝi malkonektan mesaĝon aŭ ŝanĝon de rajtigo por forigi aktivan seancon, sed ne ĉiu retalira servilo obeas tion. Se vi dubas, finu la seancon de la uzanto el la servila flanko kaj konfirmu en la protokoloj, ke la malnova seanco fermiĝis.

Ordo de agoj por la sekva horo

Komencu de la inventaro, ne de la kliento: listigu ĉiun identecon ligitan al la aparato, ĉu parta ŝlosilo, atestila seria numero aŭ konto. Revoku en ĉiu eldona sistemo laŭ la ordo, en kiu la konekto konstruiĝas, do unue konto, poste atestilo, poste parto. Poste pruvu la rifuzon el maŝino, kiun vi kontrolas.

Du sekvaĵojn facilas forgesi. Unue, anstataŭigu ĉion alian, kion la aparato tenis, precipe SSH-ŝlosilojn, nubkonsolajn legitimilojn kaj komunan antaŭdividitan WireGuard-ŝlosilon. Due, kontrolu, ke agadadministrado, momentkopioj aŭ oraj bildoj ne povas reenkonduki la forigitan klienton ĉe la sekva rekonstruo.

La daŭra solvo estas unu identeco por aparato. Kiam ĉiu tekkomputilo portas sian propran partan ŝlosilon aŭ atestilon, perdo kostas unu revokan komandon kaj reeldonon anstataŭ rekonstruon de la tuta floto.