Ihes egindako VPN gakoa ordezkatzea: zer egin behar duen zerbitzariak

Bezero-gako bat zeraman ordenagailu eramangarri bat galdu zen, eta lehen urratsa normalean kopia lokala ezabatzea da. Horrek ez du ezer aldatzen zerbitzarian, oraindik ere gako hori onartuko duen baimena gordetzen baitu norbaitek kendu arte. Ordezkatzea bi eragiketa dira, eta bigarrena bakarrik dagokio kredentzial zaharrari.

Kopia lokala ez da autoritatea

VPN kredentzial bat onartzen da zerbitzariaren konfigurazioak hala esaten duelako. Ziurtagirietan horrek esan nahi du ziurtagiria fidagarria den jaulkitzaile batera kateatzen dela eta pasabideak kontsultatzen duen errebokazio-zerrendan ez dela agertzen. WireGuard-en, berriz, bikotearen gako publikoa interfazearen konfigurazioan agertzen da. Bezero batean fitxategi bat ezabatzeak sekretu baten kopia bat kentzen du eta onarpen-araua ukitugabe uzten du.

Horregatik gako lapurtu batek garbiketa begi-bistakoaren ondoren funtzionatzen jarraitzen du, eta horregatik gertaerak konpondu gabe dirudi konfigurazio berria instalatuta egon arren.

Hasi zerbitzariaren arautik, eta gero joan kanporantz bezeroarengana.

Ziurtagiriak: zerbitzariak du erabakia

Jaulk ezazu ordezkoa jaulkitzailearen prozesu propioaren bidez, identitate berria erregistratuta gera dadin, eta gero erretira ezazu zaharra sinatutako errebokazio batekin. Pasabidea errebokazio-iturri hori kontsultatzeko konfiguratuta egon behar da eta berriz kargatu behar du, bestela fitxategia diskoan geratzen da tunelean serie-zenbaki zaharra onartzen jarraitzen duen bitartean. Saio aktiboek negoziazio berrira arte iraun dezakete, beraz, aurreikusi berriz konektatzea.

Egiaztatu ordezkoak aurreikusitako aplikaziorako funtzionatzen duela, eta gero egiaztatu onartutako prozesu baten bidez erretiratutako ziurtagiriak jada sarbiderik ematen ez duela.

Bi proba desberdin dira eta biak beharrezkoak dira. RFC 5280 pasabideak oinarritzat hartzen duen ziurtagiri eta errebokazio semantika definitzen du.

WireGuard: bikotearen gakoa da identitatea

WireGuard-ek ez du ziurtagiri-geruzarik: bikotearen gako publikoa da identitatea, eta zerbitzariaren allowed-ips sarrera da baimena. Bikote zaharra interfazearen konfiguraziotik kentzea da errebokazioa, eta berehala aplikatzen da esku-emate berriei.

Dauden saioak hurrengo esku-emateak huts egiten duenean amaitzen dira, eta hori normalean minutu pare bat barru gertatzen da, ez berehala.

Banatu konfigurazio berria pasahitz bat fidatuko zeniokeen kanal batetik, gako pribatua kredentziala baita. Eduki gako bat gailu bakoitzeko, galdutako gailu bakar batek gailu guztiak aldatzera behartu ez dezan.

Zer gehiago zegoen pakete horretan

Bezero-pakete batek sarritan gako pribatua baino gehiago darama: TLS gako estatikoa, erabiltzaile-izena eta pasahitza, aldez aurretik partekatutako sekretu bat edo hornikuntza-token bat. Mugatu gertaera benetan agerian geratu zenari eta biratu elementu horiek ere. Ziurtagiria biratzeak konpartitutako gako estatikoa lekuan uzten duen bitartean ate bat ixten du eta beste bat irekita uzten du.

Paketea gailuen artean partekatzen bazen, hura daraman gailu bakoitzak jasaten du esposizioa heredatuta.

Idatzi zer biratu zen, hurrengo auditoretzak galdetuko baitu.

Frogatu ukapena, eta gero erregistratu ordezkatzea

Ordezkatzea osatuta dago bi gertaera betetzen direnean: identitate berriak aurreikusitako zerbitzurako funtzionatzen du, eta zaharrari uko egiten zaio. Egiaztatu bigarrena erretiratutako kredentzialarekin proba-ingurune batetik, edo erakundeak onartutako saiakera kontrolatu batekin, eta irakurri pasabidearen erregistroak uko egitea politikatik etorri zela baieztatzeko, ez idazketa-akats batetik. Gero erregistratu identifikatzaile zaharra, berria eta aldaketaren ordua, hiru balio horiek behar baititu ikuskatzaile batek berreraikitzeko. Txartelean beste ezerk ez du hutsunea azalduko.

Eduki gako pribatuak txartel eta txatetatik kanpo, eta kendu esportazio zaharkituak biltegiratzetik eta segurtasun-kopietatik politiken arabera.

Ukapen-probarik gabeko ordezkatzea suposizioa da, ez konponketa.