Ferfanging fan in lekke VPN-kaai: wat de server dwaan moat

In laptop mei in klantkaai rekke kwyt, en de earste aksje is meastentiids it pleatslike bestân wiskje. Dat feroaret neat op 'e server, dy't noch hieltyd in autorisaasje hat dy't dy kaai akseptearret oant immen him fuorthellet. Ferfanging is twa operaasjes, en allinnich de twadde giet oer de âlde legitimisaasje.

De pleatslike kopy hat gjin sizzenskip

In VPN-legitimisaasje wurdt akseptearre om't de konfiguraasje oan 'e serverkant dat seit. Foar sertifikaten betsjut dat dat it sertifikaat oan in fertroud útjefter keatst en net op in yntrekkingslist stiet dy't de gateway rieplachtet. Foar WireGuard betsjut it dat de iepenbiere kaai fan 'e peer yn 'e ynterfacekonfiguraasje stiet. It wiskjen fan in bestân op in klant hellet ien kopy fan in geheim fuort en lit de akseptaasjeregel lyk.

Dat is wêrom't in stellen kaai nei de foar de hân lizzende opromming wurkjen bliuwt, en wêrom't it ynsidint ûnoplost fielt sels as de nije konfiguraasje ynstallearre is.

Begjin by de regel fan 'e server, en wurkje dan nei bûten ta de klant.

Sertifikaten: de server nimt de beslissing

Jou de ferfanging út fia it eigen proses fan 'e útjefter, sadat de nije identiteit fêstlein wurdt, en lûk de âlde dan yn mei in ûndertekene yntrekking. De gateway moat konfigurearre wêze om dy yntrekkingsboarne te rieplachtsjen, en hy moat dy op 'e nij lade, oars leit it bestân op 'e skiif wylst de tunnel de âlde serial bliuwt akseptearjen. Aktive sesjes kinne ek oant de werynteraksje oerbliuwe, dus plan in werferbining.

Befêstigje dat de ferfanging foar de bedoelde applikaasje wurket, en befêstigje dan fia in goedkarde proseduere dat it ôftanke sertifikaat gjin tagong mear jout.

Dat binne twa ferskillende tests en beide binne ferplichte. RFC 5280 definiearret de sertifikaat- en yntrekkingssemantykk dêr't de gateway op fertrout.

WireGuard: de peerkaai is de identiteit

WireGuard hat gjin sertifikaatlaach: de iepenbiere kaai fan 'e peer is de identiteit, en de allowed-ips-ynfier fan 'e server is de autorisaasje. It fuortheljen fan 'e âlde peer út 'e ynterfacekonfiguraasje is de yntrekking, en dy jildt fuortendaliks foar nije handshakes.

Besteande sesjes einigje as de folgjende handshake mislearret, wat meastentiids binnen in pear minuten is ynstee fan fuortendaliks.

Ferspriede de nije konfiguraasje fia in kanaal datst mei in wachtwurd fertrouwe soest, want de priveekaai is de legitimisaasje. Hâld ien kaai per apparaat, sadat ien ferlern apparaat net elk apparaat feroarje moat.

Wat der noch mear yn dat pakket siet

In klantpakket befettet faak mear as de priveekaai: in statyske TLS-kaai, in brûkersnamme en wachtwurd, in foarôf dield geheim of in provyzjonearringstoken. Behein it ynsidint ta wat echt bleatsteld wie en rotearje dy items ek. It sertifikaat rotearje wylst in dielde statyske kaai bliuwt stean slút ien doar en lit in oare iepen.

As it pakket oer apparaten dield waard, erft elk apparaat dat it by him hat de bleatstelling.

Skriuw op wat rotearre is, want de folgjende audit sil it freegje.

Bewiis de wegering, en registrearje dan de ferfanging

De ferfanging is klear as twa feiten hâlde: de nije identiteit wurket foar de bedoelde tsjinst, en de âlde wurdt wegere. Ferifiearje it twadde mei de ôftanke legitimisaasje út in testomjouwing, of mei in kontrolearre poging dy't de organisaasje goedkart, en lês de gateway-logs om te befêstigjen dat de wegering út belied kaam en net út in typflater. Registrearje dan de âlde identifikaasje, de nije en it tiidstip fan 'e feroaring, want dy trije wearden hat in auditor nedich om it te rekonstruearjen. Neat oars yn it ticket sil de kleau útlizze.

Hâld priveekaaien bûten tickets en chat, en ferwiderje ferâldere eksporten út opslach en backups neffens belied.

In ferfanging sûnder wegeringstest is in oanname ynstee fan in oplossing.