Hoe't jo in ferlerne VPN-apparaat ynlûke: kaai, sertifikaat of akkount

Jo laptop is fuort, en de VPN listet him noch altyd as kliïnt. De driuwende fraach is net hoe't jo it profyl wiskje op in masine dy't jo net mear hawwe, mar hokker identiteit de tsjinner noch akseptearret. WireGuard kontrolearret in iepenbiere kaai, in PKI-basearre OpenVPN opset kontrolearret in kliïntsertifikaat, en in VPN mei SSO kontrolearret in akkount en syn sesjetoken. Dy trije wurde op ferskillende plakken en mei ferskillende faasje ynlutsen, en ien reparearje wylst jo de oaren negearje is hoe't in ferlern apparaat ferbûn bliuwt.

Trije identiteiten en wat elk fan harren regelet

Elk meganisme beantwurdet in oare fraach. In peerkaai beantwurdet oft dit de masine is dy't jo ynskreaun hawwe. In sertifikaat beantwurdet oft it troch jo CA ûndertekene is en net ynlutsen. In akkount beantwurdet oft dizze persoan resint genôch autentisearre hat. In útrulling dy't twa fan harren opinoar stapelje, bygelyks sertifikaat plus map-ynloggen, slút de doar allinne as tsjin elke laach dy't it apparaat wat útjûn hat sein is om it net mear te akseptearjen.

De praktyske fal is dat de ûntbrekkende masine de privee helte fan elk bewiisstik hâldt, dat neat wat jo lokaal dogge berikt de tsjinner.

WireGuard: ferwiderje de peer, want der is gjin ynlûklist

WireGuard hâldt gjin ferbodslist by. De ynterface akseptearret krekt de iepenbiere kaaien dy't as peer ynsteld binne, dat ynlûke is wiskje: fierenje wg set wg0 peer <public-key> remove út, de foarm dokumintearre yn wg(8), en wiskje dan it oerienkommende [Peer]-blok út wg0.conf. Doch beide. In ferwidering allinne yn 'e rin begjint oant de folgjende werstart of konfiguraasje-herlading, wêrnei't it bestân de kaai weromset.

Besteande sesjes hawwe gjin timer nedich om te stjerren. It ferwiderjen fan 'e peer smyt syn handshake en kaaistoffen fuort, dat ferkear stoppt sa gau as wer in jildich kaaipel nedich is. Kontrolearje wg show wg0 latest-handshakes op 'e tsjinner: de ynfier foar de ferlerne kaai moat ferdwine en fuort bliuwe, wylst de oare peers noch resinte tiidrekken melde.

Ien warskôging is wichtiger as it liket. As it ferlerne apparaat in kaai diele mei oare apparaten om't immen ien konfiguraasjebestân kopyearre, dan ûntkeppelt it ferwiderjen fan dy kaai se allegear; dat is noch altyd de goede set, en jo jouwe dêrnei kaaien per apparaat út ynstee fan de dielde werom te setten.

Sertifikaten: in CRL jildt allinne as de daemon him lêst

Tagong op basis fan sertifikaten foeget in stap ta dy't minsken oerslaan. easyrsa revoke laptop-01 markearret it sertifikaat as ynlutsen yn 'e CA-databank, mar de VPN leart neat fan dy databank. Dêrnei fierenje jo easyrsa gen-crl út om crl.pem te skriuwen, kopyearje it nei it paad neamd yn 'e opsje crl-verify fan 'e tsjinner, en befêstigje dat de rinnende daemon it nije bestân brûkt. Ynlûke sûnder de CRL op 'e nij te meitsjen en te fersprieden is sûnder effekt.

Timing is de twadde helte. In CRL wurdt rieplachte as in kliïnt ferbynt of op 'e nij ûnderhannelje, dat in fêstige tunnel kin trochstjoere oant dan. As it apparaat direkt ôfsnien wurde moat, beëinigje dan dy sesje eksplisyt fia de behearingsynterface fan OpenVPN ynstee fan op 'e folgjende handshake te wachtsjen. It op 'e nij laden of werstarten fan 'e tsjinst, ôfhinklik fan hoe't de útrulling de CRL ladt, is diel fan 'e feroaring en net in opsjonele ekstra.

Ferifikaasje is de muoite wurdich fan in oare masine: presintearje it ynlutsen sertifikaat en ferwachtsje in handshake-mislearring, typysk VERIFY ERROR: depth=0, error=certificate revoked. As de ferbining noch slagget, lêst de kliïnt in oare CRL as dy't jo bywurke hawwe.

Akkounts en sesjes: útskeakelje is net itselde as útsmite

Map- of SSO-ynloggen wurde kontrolearre by autentikaasje. It útskeakeljen fan it akkount blokkearret de folgjende ynloggen, mar it ferfarskingstoken en de fêstige tunnel kinne trochwurkje oant se ferrinne. Lûk de sesjes en tokens fan dy brûker yn, of ferheegje in sesjeferzje as de identiteitsleverder dat stipet. Ferwiderje it ferlerne apparaat ek út 'e MFA-ynskriuwing, om't in registrearre autentikator sels in tagongspaad is.

VPN's op basis fan RADIUS kinne in ôfbrekberjocht of in autorisaasjewizing stjoere om in aktive sesje te ferdriuwen, mar net elke netwurkstagongsserver folget dat. By twifel beëinigje dan de sesje fan 'e brûker fan 'e tsjinnerkant en befêstigje yn 'e logs dat de âlde sesje sletten is.

Oarder fan operaasjes foar it folgjende oere

Begjin by de ynventaris, net by de kliïnt: list elke identiteit op dy't oan it apparaat bûn is, oft it no in peerkaai, sertifikaatsearje of akkount is. Lûk yn by elk útjaan-systeem yn 'e oarder wêryn't de ferbining boud wurdt, dus akkount earst, dan sertifikaat, dan peer. Bewiis dan de wegering fan in masine dy't jo beheare.

Twa ferfolchstappen wurde maklik fergetten. Earst, rotearje alles oars wat it apparaat hie, foaral SSH-kaaien, cloud-konsole-bewiisstikken en in dielde foarôf dielde WireGuard-kaai. Twad, kontrolearje dat konfiguraasjebehear, snapshots of gouden bylden de ferwidere kliïnt by de folgjende weropbou net werombringe kinne.

De duorsume oplossing is ien identiteit per apparaat. As elke laptop syn eigen peerkaai of sertifikaat draacht, kostet in ferlies ien ynlûkopdracht en in nije útjefte ynstee fan in weropbou fan 'e hiele float.