Yadda za a soke na'urar VPN da ta ɓace: maɓalli, takardar shaida ko asusu

Kwamfutar tafi-da-gidanka ta tafi, kuma VPN ɗin har yanzu yana lissafa ta a matsayin abokin ciniki. Babbar tambaya ba ita ce yadda za a share bayanin a kan na'urar da ba ka da ita ba, amma wace shaida ce uwar garke har yanzu yake ƙarɓa. WireGuard yana duba maɓallin jama'a, tsarin OpenVPN da ya dogara da PKI yana duba takardar shaidar abokin ciniki, kuma VPN da ke amfani da SSO yana duba asusu da alamar zaman sa. Waɗannan ukun ana soke su a wurare daban-daban, da sauri daban-daban, kuma gyara ɗaya yayin watsi da sauran shi ne yadda na'urar da ta ɓace ke ci gaba da kasancewa a haɗe.

Bayanan shaida uku da abin da kowanne ke sarrafawa

Kowace hanyar tana amsa tambaya dabam. Maɓallin aboki yana amsa ko wannan ita ce na'urar da ka yi rijista. Takardar shaida tana amsa ko CA ɗinka ya sanya mata hannu kuma ba a soke ta ba. Asusu yana amsa ko wannan mutumin ya tabbatar da kansa kwanan nan sosai. Rarraba da ke ɗora biyu daga cikinsu, misali takardar shaida da shiga jagorar, yana rufe ƙofar ne kawai idan an gaya wa kowane matakin da ya ba na'urar wani abu ya daina ƙarɓarsa.

Tarkon a aikace shi ne na'urar da ta ɓace tana riƙe da rabin sirri na kowane takardar tabbaci, don haka duk abin da ka yi a gida bai isa uwar garke ba.

WireGuard: cire abokin, domin babu jerin sokewa

WireGuard ba ya riƙe jerin hanawa. Fuskar tana ƙarɓar ainihin maɓallan jama'a da aka saita a matsayin abokan, don haka sokewa shine sharewa: gudanar da wg set wg0 peer <public-key> remove, siffar da aka rubuta a wg(8), sannan ka share tubalin [Peer] da ya dace daga wg0.conf. Yi duka biyun. Cirewa a lokacin aiki kawai yana wanzuwa har zuwa sake kunnawa ko sake loda tsari na gaba, sa'an nan fayil ɗin ya mayar da maɓallin.

Zaman da ke akwai ba sa bukatar agogon lokaci don mutuwa. Cire abokin yana watsar da musafaha da kayan maɓallinsa, don haka zirga-zirga yana tsayawa da zarar an sake bukatar ingantaccen maɓalli biyu. Duba wg show wg0 latest-handshakes a uwar garke: shigarwar maɓallin da ya ɓace ya kamata ta ɓace kuma ta kasance a ɓace, yayin da sauran abokan ke ci gaba da bayar da rahoton zaman kwanan nan.

Gargaɗi ɗaya ya fi yadda ake gani muhimmanci. Idan na'urar da ta ɓace ta raba maɓalli da wasu na'urori domin wani ya kwafi fayil ɗin tsari ɗaya, cire wannan maɓallin yana cire haɗin dukansu; har yanzu wannan shine matakin da ya dace, kuma daga baya kana fitar da maɓallai ga kowace na'ura maimakon maido da wanda aka raba.

Takardun shaida: CRL tana ƙidaya ne kawai idan daemon yana karanta ta

Shiga da ya dogara da takardar shaida yana ƙara mataki da mutane ke tsallakewa. easyrsa revoke laptop-01 yana yi wa takardar shaidar alama a matsayin an soke a cikin rumbun adana bayanai na CA, amma VPN ba ya koyon komai daga wannan rumbun. Sannan ka gudanar da easyrsa gen-crl don rubuta crl.pem, ka kwafa shi zuwa hanyar da aka ambata a zaɓin crl-verify na uwar garke, kuma ka tabbatar daemon da ke gudana yana amfani da sabon fayil ɗin. Sokewa ba tare da sake ƙirƙirar da rarraba CRL ba aikin banza ne.

Lokaci shine rabi na biyu. Ana tuntuɓar CRL lokacin da abokin ciniki ya haɗu ko ya sake yin shawarwari, don haka rami da aka kafa zai iya ci gaba da turawa har sai lokacin. Idan dole a yanke na'urar nan take, ka ƙare wannan zaman a fili ta hanyar mu'amalar gudanarwa ta OpenVPN maimakon jiran musafaha na gaba. Sake loda ko sake kunnawa sabis ɗin, dangane da yadda rarraba ke loda CRL, wani ɓangare ne na canjin ba ƙari na zaɓi ba.

Yana da kyau a tabbatar daga wata na'ura: gabatar da takardar shaidar da aka soke kuma ka yi tsammanin gazawar musafaha, yawanci VERIFY ERROR: depth=0, error=certificate revoked. Idan haɗin ya ci nasara har yanzu, abokin ciniki yana karanta wani CRL dabam da wanda ka sabunta.

Asusu da zama: kashewa ba ɗaya yake da korar ba

Ana duba shiga jagora ko SSO a lokacin tabbatarwa. Kashe asusun yana toshe shiga na gaba, amma alamar sabuntawa da ramin da aka kafa na iya ci gaba da aiki har sai sun ƙare. Soke zama da alamomin wannan mai amfani, ko ƙara sigar zama idan mai samar da shaida yana goyon bayan hakan. Ka kuma cire na'urar da ta ɓace daga rijistar MFA, domin na'urar tabbatarwa da aka yi rijista hanya ce ta shiga da kanta.

VPN da ke dogara da RADIUS na iya tura saƙon cirewa ko canjin izini don sauke zaman da ke aiki, amma ba kowane uwar garken shiga cibiyar sadarwa ke bin haka ba. Idan akwai shakku, ƙare zaman mai amfani daga bangaren uwar garke kuma ka tabbatar a cikin rajistan ayyukan cewa tsohon zaman ya rufe.

Tsarin ayyuka na sa'a mai zuwa

Fara daga lissafin kaya, ba daga abokin ciniki ba: lissafa kowace shaida da ke da alaƙa da na'urar, ko maɓallin aboki, ko lambar jerin takardar shaida, ko asusu. Soke a kowace tsarin da ya bayar bisa tsarin da ake gina haɗin, wato asusu da farko, sannan takardar shaida, sannan aboki. Sannan ka tabbatar da ƙin daga na'urar da kake sarrafawa.

Abubuwa biyu na biyo baya suna da sauƙin mantawa. Na farko, juya duk wani abu da na'urar ta riƙe, musamman maɓallan SSH, takardun shaidar babbar hanyar girgije da wani maɓallin WireGuard da aka riga aka raba. Na biyu, duba cewa sarrafa tsari, hotunan ajiya ko hotunan zinariya ba za su iya dawo da abokin cinikin da aka cire a sake ginin na gaba ba.

Magani mai dorewa shine shaida ɗaya ga kowace na'ura. Idan kowace kwamfutar tafi-da-gidanka tana ɗauke da nata maɓallin aboki ko takardar shaida, ɓacewa tana kashe umarnin sokewa ɗaya da sake fitarwa maimakon sake gina dukan rundunar.