Jedan VPN identitet po uređaju: zašto dijeljenje kvari uklanjanje

Jedan profil kopiran na prijenosnik, telefon i tablet radi dobro dok se jedan od njih ne izgubi. U tom je trenutku izbor prekinuti svaki uređaj koji dijeli identitet ili ostaviti neželjeni pristup na mjestu. Obje su mogućnosti gore od deset minuta koliko bi trebalo da se izdaju tri identiteta. Mehanizam nije složen: VPN peer je zapis o autorizaciji, a jedan zapis po uređaju jest ono što uklanjanje pretvara u jednu preciznu radnju.

Što dijeli dijeljeni profil

Kopiranje privatnog ključa kopira cijelu autorizaciju: unos peera, adresu tunela te sve rute i politike vezane uz njega. Poslužitelj ne može razlikovati kopije, jer protokol identificira peera po ključu, a ne po uređaju. Svaki redak zapisa, svako ograničenje i svaka odluka o opozivu vrijede za grupu. Dijeljeni profil stoga nije pogodnost s malim troškom sigurnosti, on je jedna točka otkaza s nekoliko uređaja.

Ista logika vrijedi za dijeljeni račun koji drži jedan certifikat.

Osigurajte kroz model identiteta koji imate

WireGuard postava može autorizirati zasebne peerske ključeve, po jedan za svaki uređaj. Postava utemeljena na certifikatima može izdavati pojedinačne klijentske certifikate iz vlastitog tijela. Sustav računa može kombinirati korisnika sa zasebnim zapisima uređaja, ovisno o proizvodu. Koristite operaterov podržani postupak upisa, jer stvaranje nove lokalne tajne ne čini ništa dok peer ili mrežni prolaz ne prepozna odgovarajuću autorizaciju.

Podržani put je i onaj koji preživljava sljedeću nadogradnju.

Inventar bez tajni

Držite oznaku uređaja, javni identifikator i vlasnika u inventaru koji možete pretraživati. Ne kopirajte privatne ključeve u taj inventar, jer to popis imovine pretvara u spremište akreditiva.

Redak koji kaže „Anin prijenosnik, javni ključ peera, izdan 12. ožujka“ dovoljan je za djelovanje.

Uklanjanje je postupak, a ne gumb

Zapišite kako onemogućiti točno jedan uređaj i treba li aktivnoj sesiji zaseban korak prekida. Provjerite postojanost, da ponovno pokretanje ili stara sigurnosna kopija konfiguracije ne vrati autorizaciju. Potvrdite da je uklanjanje djelovalo pokušajem povezivanja s uklonjenog uređaja. Zatim provjerite je li nešto drugo referenciralo taj identitet, poput nadzorne sonde ili dijeljene rute.

Korak koji ljudi preskaču posljednji je i jedini dokazuje promjenu.

Redoslijed zamjene

Prvo izdajte novi uređaj, provjerite ga prema resursu koji mu treba, pa povucite stari. Iznimka je izloženost: ako stari uređaj može biti u tuđim rukama, prvo ga uklonite i prihvatite prekid.

U svakom slučaju, pregledajte spremljene izvoze na povučenom hardveru prije nego što napusti zgradu.

Što vam donose odvojeni identiteti

Tri stvari, i svaka se pokaže tijekom incidenta:

• Opozvati jedan uređaj bez diranja ostalih.
• Pripisati vezu uređaju, a ne grupi.
• Objasniti kvar bez prikupljanja aktivnosti svih.

Operaterove smjernice su autoritet za njegov vlastiti model osiguravanja, bilo da su to ključevi po peeru kao u WireGuard brzom početku ili pojedinačni certifikati lokalnog tijela. Različiti zapisi razlika su između flote o kojoj možete razmišljati i flote koju možete samo resetirati.