Kuidas tühistada kadunud VPN-seade: võti, sertifikaat või konto

Teie sülearvuti on kadunud ja VPN loetleb seda endiselt kliendina. Pakiline küsimus ei ole, kuidas kustutada profiil masinal, mida teil enam ei ole, vaid millist identiteeti server endiselt aktsepteerib. WireGuard kontrollib avalikku võtit, PKI-põhine OpenVPN seadistus kontrollib kliendisertifikaati ja SSO-ga VPN kontrollib kontot ning selle sessiooniluba. Need kolm tühistatakse erinevates kohtades ja erineva kiirusega ning ühe parandamine teisi eirates on viis, kuidas kadunud seade jääb ühendatuks.

Kolm identiteeti ja mida igaüks neist kontrollib

Iga mehhanism vastab erinevale küsimusele. Partneri võti vastab, kas see on masin, mille te registreerisite. Sertifikaat vastab, kas teie CA selle allkirjastas ja kas see on tühistamata. Konto vastab, kas see inimene autentis end piisavalt hiljuti. Juurutus, mis kihistab neist kaks, näiteks sertifikaat pluss kataloogisisselogimine, sulgeb ukse alles siis, kui igale kihile, mis seadmele midagi väljastas, on öeldud, et lõpetage selle aktsepteerimine.

Praktiline lõks on see, et puuduv masin hoiab iga mandaadi privaatset poolt, nii et miski, mida te lokaalselt teete, ei jõua serverini.

WireGuard: eemaldage partner, sest tühistusnimekirja ei ole

WireGuard ei pea keelunimekirja. Liides aktsepteerib täpselt neid avalikke võtmeid, mis on partneritena seadistatud, seega tühistamine on kustutamine: käivitage wg set wg0 peer <public-key> remove, vorm, mis on dokumenteeritud jaotises wg(8), seejärel kustutage vastav plokk [Peer] failist wg0.conf. Tehke mõlemad. Ainult tööajal tehtud eemaldamine püsib kuni järgmise taaskäivituse või konfiguratsiooni uuestilaadimiseni, mil fail paneb võtme tagasi.

Olemasolevad sessioonid ei vaja suremiseks taimerit. Partneri eemaldamine viskab kõrvale selle kätluse ja võtmematerjali, seega liiklus peatub niipea, kui nõutakse taas kehtivat võtmepaari. Kontrollige serveris wg show wg0 latest-handshakes: kadunud võtme kirje peaks kaduma ja kadunuks jääma, samal ajal kui teised partnerid teatavad endiselt värskeid epohhe.

Üks hoiatus on tähtsam, kui paistab. Kui kadunud seade jagas võtit teiste seadmetega, sest keegi kopeeris ühe konfiguratsioonifaili, siis selle võtme eemaldamine katkestab kõik need; see on siiski õige samm ja seejärel väljastate võtmed seadme kaupa, selle asemel et jagatud võti taastada.

Sertifikaadid: CRL loeb ainult siis, kui deemon seda loeb

Sertifikaadipõhine juurdepääs lisab sammu, mille inimesed jätavad vahele. easyrsa revoke laptop-01 märgib sertifikaadi CA-andmebaasis tühistatuks, kuid VPN ei õpi sellest andmebaasist midagi. Seejärel käivitate easyrsa gen-crl, et kirjutada crl.pem, kopeerite selle serveri valikus crl-verify nimetatud teele ja kinnitate, et töötav deemon kasutab uut faili. Tühistamine ilma CRL-i uuesti genereerimise ja levitamiseta on mõjutu.

Ajastus on teine pool. CRL-i konsulteeritakse, kui klient ühendub või läbirääkimisi uuendab, seega võib loodud tunnel kuni selle hetkeni edasi saata. Kui seade tuleb kohe ära lõigata, lõpetage see sessioon selgelt OpenVPN-i haldusliidese kaudu, selle asemel et oodata järgmist kätlust. Teenuse uuestilaadimine või taaskäivitamine, sõltuvalt sellest, kuidas juurutus CRL-i laadib, on muudatuse osa, mitte valikuline lisa.

Kontrollimist tasub teha teiselt masinalt: esitage tühistatud sertifikaat ja oodake kätluse ebaõnnestumist, tavaliselt VERIFY ERROR: depth=0, error=certificate revoked. Kui ühendus siiski õnnestub, loeb klient teist CRL-i kui see, mille te uuendasite.

Kontod ja sessioonid: keelamine ei ole sama mis väljaheitmine

Kataloogi või SSO sisselogimisi kontrollitakse autentimise hetkel. Konto keelamine blokeerib järgmise sisselogimise, kuid värskendusluba ja loodud tunnel võivad töötada kuni nende aegumiseni. Tühistage selle kasutaja sessioonid ja lood või suurendage sessiooni versiooni, kui identiteedipakkuja seda toetab. Eemaldage kadunud seade ka MFA-registreeringust, sest registreeritud autentija on iseenesest juurdepääsutee.

RADIUS-põhised VPN-id võivad saata lahtiühendusteate või autoriseerimismuudatuse, et aktiivne sessioon maha visata, kuid mitte iga võrgu juurdepääsusever ei järgi seda. Kahtluse korral lõpetage kasutaja sessioon serveri poolt ja kinnitage logides, et vana sessioon sulgus.

Toimingute järjekord järgmiseks tunniks

Alustage inventuurist, mitte kliendist: loetlege iga seadmega seotud identiteet, olgu see partneri võti, sertifikaadi seerianumber või konto. Tühistage igas väljastavas süsteemis selles järjekorras, milles ühendus ehitatakse, see tähendab kõigepealt konto, seejärel sertifikaat, seejärel partner. Seejärel tõestage keeldumine masinalt, mida te kontrollite.

Kaks järeltegevust on kerged ununema. Esiteks vahetage kõik muu, mida seade hoidis, eriti SSH-võtmed, pilvekonsoli mandaadid ja jagatud eelnevalt jagatud WireGuard-võti. Teiseks kontrollige, et konfiguratsioonihaldus, hetktõmmised või kuldkuvandid ei saaks eemaldatud klienti järgmisel ülesehitamisel tagasi tuua.

Vastupidav lahendus on üks identiteet seadme kohta. Kui igal sülearvutil on oma partneri võti või sertifikaat, maksab kaotus ühe tühistuskäsu ja uuesti väljastamise, mitte kogu pargi ülesehitamise.