Como revogar un dispositivo VPN perdido: clave, certificado ou conta

O teu portátil desapareceu e a VPN segue listándoo como cliente. A pregunta urxente non é como borrar o perfil nunha máquina que xa non tes, senón que identidade segue aceptando o servidor. WireGuard comproba unha clave pública, unha configuración OpenVPN baseada en PKI comproba un certificado de cliente, e unha VPN con SSO comproba unha conta e o seu token de sesión. Esas tres revóganse en lugares distintos e a velocidades distintas, e arranxar unha mentres se ignoran as outras é a forma en que un dispositivo perdido segue conectado.

Tres identidades e que controla cada unha

Cada mecanismo responde a unha pregunta distinta. Unha clave de par responde se esta é a máquina que inscribiches. Un certificado responde se o asinou a túa CA e non foi revogado. Unha conta responde se esta persoa se autenticou con suficiente recentemente. Un despregamento que apila dúas delas, por exemplo certificado máis inicio de sesión no directorio, só pecha a porta cando a cada capa que emitiu algo ao dispositivo se lle dixo que deixe de aceptalo.

A trampa práctica é que a máquina ausente garda a metade privada de cada credencial, así que nada do que fagas localmente chega ao servidor.

WireGuard: elimina o par, porque non hai lista de revogación

WireGuard non mantén ningunha lista de denegación. A interface acepta exactamente as claves públicas configuradas como pares, así que revogar é borrar: executa wg set wg0 peer <public-key> remove, a forma documentada en wg(8), e despois borra o bloque [Peer] correspondente de wg0.conf. Fai as dúas cousas. Unha eliminación só en tempo de execución sobrevive ata o seguinte reinicio ou recarga da configuración, momento no que o ficheiro volve poñer a clave.

As sesións existentes non necesitan un temporizador para morrer. Eliminar o par descarta o seu handshake e o seu material de clave, así que o tráfico detense en canto se volve esixir un par de claves válido. Comproba wg show wg0 latest-handshakes no servidor: a entrada da clave perdida debería desaparecer e quedar fóra, mentres os demais pares seguen informando épocas recentes.

Unha advertencia importa máis do que parece. Se o dispositivo perdido compartía unha clave con outros dispositivos porque alguén copiou un ficheiro de configuración, eliminar esa clave desconecta todos; segue sendo o movemento correcto, e despois reemites claves por dispositivo en lugar de restaurar a compartida.

Certificados: unha CRL só conta se o daemon a le

O acceso baseado en certificados engade un paso que a xente salta. easyrsa revoke laptop-01 marca o certificado como revogado na base de datos da CA, pero a VPN non aprende nada desa base. Despois executas easyrsa gen-crl para escribir crl.pem, cópiao á ruta indicada na opción crl-verify do servidor e confirmas que o daemon en execución usa o ficheiro novo. Revogar sen rexenerar e distribuír a CRL non serve de nada.

O momento é a outra metade. Unha CRL consúltase cando un cliente se conecta ou renegocia, así que un túnel establecido pode seguir reenviando ata entón. Se o dispositivo debe cortarse de inmediato, remata esa sesión explicitamente pola interface de xestión de OpenVPN en lugar de agardar o seguinte handshake. Recargar ou reiniciar o servizo, segundo como o despregamento cargue a CRL, forma parte do cambio e non é un extra opcional.

Vale a pena verificalo desde outra máquina: presenta o certificado revogado e agarda un fallo de handshake, normalmente VERIFY ERROR: depth=0, error=certificate revoked. Se a conexión aínda ten éxito, o cliente le unha CRL distinta da que actualizaches.

Contas e sesións: desactivar non é o mesmo que expulsar

Os inicios de sesión no directorio ou por SSO compróbanse no momento da autenticación. Desactivar a conta bloquea o seguinte inicio de sesión, pero o token de refresco e o túnel establecido poden seguir funcionando ata que caduquen. Revoga as sesións e os tokens dese usuario, ou sobe a versión de sesión se o provedor de identidade o admite. Saca tamén o dispositivo perdido do rexistro MFA, xa que un autenticador rexistrado é unha vía de acceso por si mesmo.

As VPN con RADIUS poden enviar unha mensaxe de desconexión ou un cambio de autorización para botar unha sesión activa, pero non todos os servidores de acceso á rede o respectan. En caso de dúbida, remata a sesión do usuario desde o lado do servidor e confirma nos rexistros que a sesión antiga se pechou.

Orde de operacións para a próxima hora

Comeza polo inventario, non polo cliente: enumera cada identidade ligada ao dispositivo, sexa clave de par, número de serie de certificado ou conta. Revoga en cada sistema emisor na orde en que se constrúe a conexión, é dicir, primeiro a conta, despois o certificado e despois o par. Despois demostra a negativa desde unha máquina que controles.

Dous seguimentos son fáciles de esquecer. Primeiro, rota calquera outra cousa que o dispositivo gardase, sobre todo claves SSH, credenciais de consola na nube e unha clave precompartida de WireGuard. Segundo, comproba que a xestión de configuración, as instantáneas ou as imaxes douradas non poidan reintroducir o cliente eliminado na próxima reconstrución.

A solución duradeira é unha identidade por dispositivo. Cando cada portátil leva a súa propia clave de par ou certificado, unha perda custa unha orde de revogación e unha reemisión en lugar de reconstruír toda a frota.