Galdutako VPN gailua baliorik gabe uztea: gakoa, ziurtagiria edo kontua

Zure ordenagailu eramangarria desagertu da, eta VPNak bezero gisa zerrendatzen du oraindik. Premiazko galdera ez da jada ez duzun makina batean profila nola ezabatu, baizik eta zerbitzariak oraindik zein identitate onartzen duen. WireGuardek gako publiko bat egiaztatzen du, PKI-n oinarritutako OpenVPN konfigurazio batek bezero ziurtagiria egiaztatzen du, eta SSOa duen VPN batek kontua eta haren saio tokena egiaztatzen ditu. Hiru horiek leku desberdinetan eta abiadura desberdinean ezeztatzen dira, eta bat konpondu eta besteak alde batera uztea da galdutako gailua konektatuta jarraitzeko modua.

Hiru identitate eta bakoitzak zer kontrolatzen duen

Mekanismo bakoitzak galdera desberdin bati erantzuten dio. Parekide gako batek erantzuten du ea hau inskribatu zenuen makina den. Ziurtagiri batek erantzuten du ea zure CAk sinatu zuen eta ez den ezeztatu. Kontu batek erantzuten du ea pertsona hori behar adina berriki autentifikatu den. Bi hauek geruzatzen dituen inplementazio batek, adibidez ziurtagiria gehi direktorio saioa, ateak ixten ditu gailuari zerbait eman dion geruza bakoitzari onartzeari uzteko esan zaionean soilik.

Tranpa praktikoa zera da: falta den makinak kredentzial bakoitzaren erdi pribatua gordetzen du, beraz tokian egiten duzun ezer ez da zerbitzarira iristen.

WireGuard: kendu parekidea, ez baitago ezeztatze zerrendarik

WireGuardek ez du debeku zerrendarik gordetzen. Interfazeak parekide gisa konfiguratutako gako publiko zehatzak onartzen ditu, beraz ezeztatzea ezabatzea da: exekutatu wg set wg0 peer <public-key> remove, wg(8)-n dokumentatutako forma, eta gero ezabatu dagokion [Peer] blokea wg0.conf fitxategitik. Egin biak. Exekuzio denboran soilik egindako kentzeak hurrengo berrabiaraztea edo konfigurazioaren birkarga arte irauten du, eta orduan fitxategiak gakoa berriro jartzen du.

Lehendik dauden saioek ez dute tenporizadore bat behar hiltzeko. Parekidea kentzeak haren eskuko ukipena eta gako materia baztertzen ditu, beraz trafikoa gelditzen da gako pare baliodun bat berriro behar den bezain laster. Egiaztatu zerbitzarian wg show wg0 latest-handshakes: galdutako gakoaren sarrera desagertu eta desagertuta egon beharko litzateke, beste parekideek garai berriak jakinarazten jarraitzen duten bitartean.

Kontuz batek uste baino gehiago inporta du. Galdutako gailuak beste gailu batzuekin gako bat partekatzen bazuen norbaitek konfigurazio fitxategi bat kopiatu zuelako, gako hori kentzeak denak deskonektatzen ditu; hala ere mugimendu zuzena da, eta gero gailuko gakoak berriro igortzen dituzu partekatua leheneratu beharrean.

Ziurtagiriak: CRL batek balio du deabruak irakurtzen badu soilik

Ziurtagirietan oinarritutako sarbideak jendeak saltatzen duen urrats bat gehitzen du. easyrsa revoke laptop-01 ziurtagiria ezeztatutzat markatzen du CAren datu basean, baina VPNak ez du datu base horretatik ezer ikasten. Ondoren easyrsa gen-crl exekutatzen duzu crl.pem idazteko, zerbitzariaren crl-verify aukeran adierazitako bidera kopiatzen duzu, eta martxan dagoen deabruak fitxategi berria erabiltzen duela baieztatzen duzu. CRLa birsortu eta banatu gabe ezeztatzea alferrikakoa da.

Denbora da bigarren erdia. CRL bati kontsultatzen zaio bezero bat konektatzen edo berriz negoziatzen denean, beraz ezarritako tunel batek aurrera bidaltzen jarrai dezake harik eta. Gailua berehala moztu behar bada, amaitu saio hori espresuki OpenVPNren kudeaketa interfazearen bidez hurrengo eskuko ukipena itxaron beharrean. Zerbitzua berriz kargatzea edo berrabiaraztea, inplementazioak CRLa nola kargatzen duen arabera, aldaketaren parte da eta ez da aukerako gehigarria.

Hori beste makina batetik egiaztatzea merezi du: aurkeztu ezeztatutako ziurtagiria eta itxaron eskuko ukipenaren huts egitea, normalean VERIFY ERROR: depth=0, error=certificate revoked. Konexioak oraindik arrakasta badu, bezeroak zu eguneratu zenuenaren beste CRL bat irakurtzen ari da.

Kontuak eta saioak: desgaitzea ez da kanporatzea

Direktorio edo SSO bidezko saio-hasierak autentifikazio unean egiaztatzen dira. Kontua desgaitzeak hurrengo saio-hasiera blokeatzen du, baina freskatze tokena eta ezarritako tunela funtzionatzen jarrai dezakete iraungi arte. Ezeztatu erabiltzaile horren saioak eta tokenak, edo igo saioaren bertsioa identitate hornitzaileak onartzen badu. Kendu galdutako gailua MFA erregistrotik ere, erregistratutako autentifikatzaile bat bere horretan sarbide bidea baita.

RADIUS bidezko VPNetakoek deskonexio mezu bat edo baimen aldaketa bat bidal dezakete saio aktibo bat botatzeko, baina ez da sare sarbide zerbitzari guztiek hori errespetatzen. Zalantza baduzu, amaitu erabiltzailearen saioa zerbitzariaren aldetik eta baieztatu erregistroetan saio zaharra itxi dela.

Eragiketen ordena hurrengo orduan

Hasi inbentariotik, ez bezerotik: zerrendatu gailuari lotutako identitate guztiak, parekide gakoa, ziurtagiriaren serie zenbakia edo kontua izan. Ezeztatu sistema igorle bakoitzean konexioa eraikitzen den ordenan, hau da, lehenengo kontua, gero ziurtagiria, gero parekidea. Gero frogatu uko egitea kontrolatzen duzun makina batetik.

Bi jarraipen erraz ahazten dira. Lehenik, txandakatu gailuak zuen beste edozer, batez ere SSH gakoak, hodeiko kontsola kredentzialak eta WireGuard gako partekatu aurredefinitua. Bigarrenik, egiaztatu konfigurazio kudeaketak, snapshotek edo urrezko irudiek ezin dutela kendutako bezeroa berriro sartu hurrengo berreraikuntzan.

Konponbide iraunkorra gailu bakoitzeko identitate bat da. Ordenagailu eramangarri bakoitzak bere parekide gakoa edo ziurtagiria daramanean, galera batek ezeztatze komando bat eta berrigorpen bat kostatzen ditu, flota osoa berreraikitzearen ordez.