Yksi VPN-identiteetti laitetta kohden: miksi jakaminen rikkoo poiston

Yksi profiili, joka on kopioitu kannettavaan tietokoneeseen, puhelimeen ja tablet-laitteeseen, toimii hyvin, kunnes yksi niistä katoaa. Siinä vaiheessa valinta on keskeyttää jokainen identiteettiä jakava laite tai jättää ei-toivottu pääsy paikoilleen. Molemmat vaihtoehdot ovat huonompia kuin ne kymmenen minuuttia, jotka kolmen identiteetin myöntämiseen olisi kulunut. Mekanismi ei ole monimutkainen: VPN-vertaiskumppani on valtuutustietue, ja yksi tietue laitetta kohden on se, mikä muuttaa poiston yhdeksi täsmälliseksi toimenpiteeksi.

Mitä jaettu profiili jakaa

Yksityisen avaimen kopioiminen kopioi koko valtuutuksen: vertaiskumppanin merkinnän, tunneliosoitteen sekä siihen liitetyt reitit ja käytännöt. Palvelin ei voi erottaa kopioita toisistaan, koska protokolla tunnistaa vertaiskumppanin avaimen, ei laitteen perusteella. Jokainen lokirivi, jokainen raja ja jokainen peruutuspäätös koskee ryhmää. Jaettu profiili ei siis ole mukavuus pienellä turvallisuuskustannuksella, vaan yksi vikapiste, johon on kiinnitetty useita laitteita.

Sama logiikka pätee jaettuun tiliin, jolla on yksi varmenne.

Hankinta käytössäsi olevalla identiteettimallilla

WireGuard-käyttöönotto voi valtuuttaa erilliset vertaisavaimet, yhden laitetta kohden. Varmenteisiin perustuva käyttöönotto voi myöntää yksittäisiä asiakasvarmenteita omasta viranomaisestaan. Tilinjärjestelmä voi yhdistää käyttäjän erillisiin laitetietueisiin tuotteesta riippuen. Käytä operaattorin tukemaa rekisteröintiprosessia, koska uuden paikallisen salaisuuden luominen ei tee mitään ennen kuin vertaiskumppani tai yhdyskäytävä tunnustaa vastaavan valtuutuksen.

Tuettu polku on myös se, joka selviää seuraavasta päivityksestä.

Luettelo ilman salaisuuksia

Pidä laitteen tunniste, julkinen tunnus ja omistaja luettelossa, jota voi hakea. Älä kopioi yksityisiä avaimia siihen luetteloon, koska se muuttaa omaisuusluettelon valtuustietovarastoksi.

Rivi ”Anan kannettava, vertaiskumppanin julkinen avain, myönnetty 12. maaliskuuta” riittää toimimiseen.

Poisto on menettely, ei painike

Kirjaa, miten täsmälleen yksi laite poistetaan käytöstä ja tarvitseeko aktiivinen istunto erillisen lopetusvaiheen. Tarkista pysyvyys, jotta uudelleenkäynnistys tai vanha kokoonpanon varmuuskopio ei tuo valtuutusta takaisin. Vahvista, että poisto tuli voimaan yrittämällä yhdistää poistetusta laitteesta. Tarkista sitten, viittasiko jokin muu tähän identiteettiin, kuten valvonta-anturi tai jaettu reitti.

Vaihe, jonka ihmiset ohittavat, on viimeinen, ja se on ainoa, joka todistaa muutoksen.

Vaihtojärjestys

Myönnä ensin uusi laite, varmista se tarvitsemaansa resurssiin nähden ja poista sitten vanha käytöstä. Poikkeus on altistuminen: jos vanha laite voi olla toisen käsissä, poista se ensin ja hyväksy keskeytys.

Joka tapauksessa käy läpi käytöstä poistetulle laitteistolle tallennetut vientitiedostot ennen kuin se lähtee rakennuksesta.

Mitä erilliset identiteetit antavat

Kolme asiaa, ja jokainen näkyy tapahtuman aikana:

• Peruuta yksi laite koskematta muihin.
• Kohdista yhteys laitteeseen, ei ryhmään.
• Selitä vika keräämättä kaikkien toimintaa.

Operaattorin ohjeet ovat valtuus sen omasta hankintamallista, olivatpa kyseessä vertaiskumppanikohtaiset avaimet kuten WireGuardin pika-aloituksessa tai yksittäiset varmenteet paikallisesta viranomaisesta. Erilliset tietueet ovat ero sen välillä, millaisesta laivueesta voi järkeillä, ja laivueen, jonka voi vain nollata.