Conas gléas VPN caillte a chúlghairm: eochair, teastas nó cuntas

Tá do ríomhaire glúine imithe, agus tá an VPN fós á liostú mar chliant. Ní hé an cheist phráinneach conas an phróifíl a scriosadh ar mheaisín nach bhfuil agat a thuilleadh, ach cén chéannacht a nglacann an freastalaí léi fós. Seiceálann WireGuard eochair phoiblí, seiceálann socrú OpenVPN atá bunaithe ar PKI teastas cliaint, agus seiceálann VPN a bhfuil SSO aige cuntas agus a chomhartha seisiúin. Cúlghairtear an triúr sin in áiteanna difriúla, ar luasanna difriúla, agus is é an bealach a bhfanann gléas caillte ceangailte ná ceann amháin a shocrú agus neamhaird a dhéanamh ar na cinn eile.

Trí chéannacht agus cad a rialaíonn gach ceann acu

Freagraíonn gach meicníocht ceist dhifriúil. Freagraíonn eochair phiar an é seo an meaisín a chláraigh tú. Freagraíonn teastas ar shínigh do CA é agus nár cúlghaireadh é. Freagraíonn cuntas ar fhíoraigh an duine seo é féin le déanaí go leor. Ní dhúnann imscaradh a chuirtear dhá cheann acu ina gciseal, mar shampla teastas móide logáil isteach eolaire, an doras ach amháin nuair a deirtear le gach ciseal a d’eisigh rud éigin don ghléas stopadh ag glacadh leis.

Is é an gaiste praiticiúil ná go bhfuil leath phríobháideach gach dintiúir ag an meaisín atá ar iarraidh, mar sin ní shroicheann aon rud a dhéanann tú go háitiúil an freastalaí.

WireGuard: bain an piar, mar níl aon liosta cúlghairme ann

Ní choinníonn WireGuard aon liosta diúltaithe. Glacann an comhéadan go díreach leis na heochracha poiblí atá cumraithe mar phiaraí, mar sin is é an chúlghairm ná scriosadh: rith wg set wg0 peer <public-key> remove, an fhoirm atá doiciméadaithe i wg(8), ansin scrios an bloc [Peer] comhfhreagrach ó wg0.conf. Déan an dá rud. Maireann baint a dhéantar ag am rite amháin go dtí an chéad atosú nó athlódáil cumraíochta eile, agus ansin cuireann an comhad an eochair ar ais.

Ní gá amadóir chun go bhfaigheadh seisiúin atá ann cheana bás. Tréigeann baint an phiara a chroitheadh láimhe agus a ábhar eochrach, mar sin stopann an trácht a luaithe a bhíonn péire eochrach bailí ag teastáil arís. Seiceáil wg show wg0 latest-handshakes ar an bhfreastalaí: ba chóir an iontráil don eochair chaillte a bheith imithe agus fanacht imithe, agus na piaraí eile fós ag tuairisciú réanna le déanaí.

Tá rabhadh amháin níos tábhachtaí ná mar a fheictear. Má roinn an gléas caillte eochair le gléasanna eile toisc gur chóipeáil duine comhad cumraíochta amháin, dícheanglaíonn baint na heochrach sin iad uile; is é sin an gluaiseacht cheart fós, agus eisíonn tú eochracha in aghaidh an ghléis ina dhiaidh sin seachas an ceann roinnte a athchóiriú.

Teastais: ní chomhairtear CRL ach amháin má léann an deamhan é

Cuireann rochtain bunaithe ar theastais céim leis a scipeálann daoine. Marcálann easyrsa revoke laptop-01 an teastas mar chúlghairthe i mbunachar sonraí an CA, ach ní fhoghlaimíonn an VPN aon rud ón mbunachar sonraí sin. Ansin ritheann tú easyrsa gen-crl chun crl.pem a scríobh, cóipeálann tú chuig an gcosán atá ainmnithe in rogha crl-verify an fhreastalaí, agus dearbhaíonn tú go bhfuil an deamhan atá ag rith ag úsáid an chomhad nua. Is rud gan éifeacht é cúlghairm gan an CRL a athghiniúint agus a dháileadh.

Is é an t-amú an dara leath. Ceaptar le CRL nuair a nascann cliant nó nuair a athchaibidlíonn sé, mar sin is féidir le tollán bunaithe leanúint ar aghaidh ag cur ar aghaidh go dtí sin. Má chaithfear an gléas a ghearradh amach láithreach, cuir deireadh leis an seisiún sin go sainráite trí chomhéadan bainistíochta OpenVPN seachas fanacht ar an gcéad chroitheadh láimhe eile. Tá athlódáil nó atosú an tseirbhís, ag brath ar conas a lódálann an t-imscaradh an CRL, mar chuid den athrú agus ní mar rud breise roghnach.

Is fiú an fíorú a dhéanamh ó mheaisín eile: cuir an teastas cúlghairthe i láthair agus bí ag súil le teip ar chroitheadh láimhe, de ghnáth VERIFY ERROR: depth=0, error=certificate revoked. Má éiríonn leis an nasc fós, tá an cliant ag léamh CRL difriúil ón gceann a nuashonraigh tú.

Cuntais agus seisiúin: ní ionann díchumasú agus ruaigeadh

Seiceáiltear logáil isteach eolaire nó SSO ag am an fhíordheimhnithe. Cuireann díchumasú an chuntais cosc ar an gcéad logáil isteach eile, ach is féidir leis an gcomhartha athnuachana agus an tollán bunaithe leanúint ar aghaidh ag obair go dtí go dtéann siad in éag. Cúlghairm na seisiúin agus na comharthaí don úsáideoir sin, nó ardaigh leagan seisiúin má thacaíonn an soláthraí céannachta leis. Bain an gléas caillte ón gclárú MFA freisin, ós rud é gur bealach rochtana ann féin é fíordheimhneoir cláraithe.

Is féidir le VPNanna atá bunaithe ar RADIUS teachtaireacht dícheangail nó athrú údaraithe a bhrú chun seisiún gníomhach a ligean síos, ach ní urramaíonn gach freastalaí rochtana líonra é sin. Nuair a bhíonn amhras ort, cuir deireadh le seisiún an úsáideora ó thaobh an fhreastalaí agus dearbhaigh sna logaí gur dúnadh an seisiún sean.

Ord na n-oibríochtaí don chéad uair an chloig eile

Tosaigh ón bhfardal, ní ón gcliant: liostaigh gach céannacht atá ceangailte leis an ngléas, cibé acu eochair phiar, sraithuimhir teastais nó cuntas. Cúlghairm ag gach córas eisitheach san ord ina dtógtar an nasc, is é sin cuntas ar dtús, ansin teastas, ansin piar. Ansin cruthaigh an diúltú ó mheaisín atá faoi do smacht.

Is furasta dhá rud leantacha a ligean i ndearmad. Ar dtús, rothlaigh aon rud eile a bhí ag an ngléas, go háirithe eochracha SSH, dintiúir chonsóil scamall agus eochair réamhroinnte WireGuard. Ar an dara dul síos, seiceáil nach féidir le bainistíocht cumraíochta, staramhlaí nó íomhánna óir an cliant bainte a thabhairt ar ais ag an gcéad atógáil eile.

Is é an réiteach marthanach ná céannacht amháin in aghaidh an ghléis. Nuair a iompraíonn gach ríomhaire glúine a eochair phiar nó a theastas féin, cosnaíonn caillteanas ordú cúlghairme amháin agus atheisiúint seachas atógáil an chabhlaigh ar fad.