Una identidad VPN por dispositivo: por qué compartir rompe la retirada

Un perfil copiado en un portátil, un teléfono y una tableta funciona bien hasta que uno de ellos se pierde. En ese momento la elección es interrumpir todos los dispositivos que comparten la identidad o dejar el acceso no deseado en su sitio. Ambas opciones son peores que los diez minutos que habría costado emitir tres identidades. El mecanismo no es complicado: un par VPN es un registro de autorización, y un registro por dispositivo es lo que convierte la retirada en una sola acción precisa.

Qué comparte un perfil compartido

Copiar una clave privada copia toda la autorización: la entrada del par, la dirección del túnel y las rutas y políticas asociadas. El servidor no puede distinguir las copias, porque el protocolo identifica un par por la clave y no por el dispositivo. Cada línea de registro, cada límite y cada decisión de revocación se aplican al grupo. Por eso un perfil compartido no es una comodidad con un pequeño coste de seguridad, sino un único punto de fallo con varios dispositivos conectados.

La misma lógica se aplica a una cuenta compartida que contiene un solo certificado.

Aprovisiona con el modelo de identidad que tengas

Un despliegue de WireGuard puede autorizar claves de par distintas, una por dispositivo. Un despliegue basado en certificados puede emitir certificados de cliente individuales desde su propia autoridad. Un sistema de cuentas puede combinar un usuario con registros de dispositivo separados, según el producto. Usa el proceso de alta que admite el operador, porque generar un secreto local nuevo no hace nada hasta que el par o la pasarela reconocen la autorización correspondiente.

La vía admitida es también la que sobrevive a la próxima actualización.

Inventario sin secretos

Mantén la etiqueta del dispositivo, el identificador público y el propietario en un inventario que puedas buscar. No copies claves privadas en ese inventario, porque convierte una lista de activos en un almacén de credenciales.

Una fila que diga «Portátil de Ana, clave pública del par, emitida el 12 de marzo» basta para actuar.

La retirada es un procedimiento, no un botón

Anota cómo desactivar exactamente un dispositivo y si una sesión activa necesita un paso de terminación aparte. Comprueba la persistencia, para que un reinicio o una copia antigua de la configuración no reintroduzcan la autorización. Confirma que la retirada surtió efecto intentando conectarte desde el dispositivo retirado. Después comprueba si algo más hacía referencia a esa identidad, como una sonda de monitorización o una ruta compartida.

El paso que la gente se salta es el último, y es el único que demuestra el cambio.

Orden de sustitución

Emite primero el dispositivo nuevo, verifícalo contra el recurso que necesita y luego retira el viejo. La excepción es la exposición: si el dispositivo viejo puede estar en manos de otra persona, retíralo primero y acepta la interrupción.

En cualquier caso, revisa las exportaciones guardadas en el hardware retirado antes de que salga del edificio.

Qué te dan las identidades separadas

Tres cosas, y cada una aparece durante un incidente:

• Revocar un dispositivo sin tocar los demás.
• Atribuir una conexión a un dispositivo, no a un grupo.
• Explicar un fallo sin recoger la actividad de todos.

La guía del operador es la autoridad sobre su propio modelo de aprovisionamiento, ya sean claves por par como en el inicio rápido de WireGuard o certificados individuales de una autoridad local. Los registros distintos son la diferencia entre una flota sobre la que puedes razonar y una flota que solo puedes reiniciar.