Egy VPN-identitás eszközönként: miért töri meg a megosztás az eltávolítást

Egy hordozható számítógépre, telefonra és táblagépre másolt profil jól működik addig, amíg az egyik el nem vész. Abban a pillanatban a választás az, hogy megszakítunk minden eszközt, amely az identitást megosztja, vagy helyén hagyjuk a nem kívánt hozzáférést. Mindkét lehetőség rosszabb annál a tíz percnél, amennyibe három identitás kiadása került volna. A mechanizmus nem bonyolult: a VPN-társ egy engedélyezési rekord, és az eszközönkénti egy rekord az, ami az eltávolítást egyetlen pontos műveletté teszi.

Mit oszt meg a megosztott profil

Egy privát kulcs másolása az egész engedélyezést másolja: a társ bejegyzését, az alagút címét és a hozzá kapcsolt útvonalakat és házirendeket. A szerver nem tudja megkülönböztetni a másolatokat, mert a protokoll a társat kulcs alapján azonosítja, nem eszköz alapján. Minden naplósor, minden korlát és minden visszavonási döntés a csoportra vonatkozik. A megosztott profil tehát nem kényelem kis biztonsági költséggel, hanem egyetlen meghibásodási pont, amelyre több eszköz kapcsolódik.

Ugyanez a logika érvényes egy megosztott fiókra, amely egyetlen tanúsítványt tartalmaz.

A meglévő identitásmodelljén keresztül ossza ki

Egy WireGuard-telepítés külön társ-kulcsokat engedélyezhet, eszközönként egyet. A tanúsítványalapú telepítés egyedi ügyféltanúsítványokat adhat ki a saját hatóságától. Egy fiókrendszer a terméktől függően összekapcsolhatja a felhasználót külön eszközrekordokkal. Használja az üzemeltető által támogatott regisztrációs folyamatot, mert egy új helyi titok létrehozása semmit nem tesz, amíg a társ vagy az átjáró el nem ismeri a megfelelő engedélyezést.

A támogatott útvonal az, amely a következő frissítést is túléli.

Nyilvántartás titkok nélkül

Tartsa az eszköz címkéjét, a nyilvános azonosítót és a tulajdonost egy kereshető nyilvántartásban. Ne másoljon privát kulcsokat abba a nyilvántartásba, mert az eszközlistát hitelesítőadat-tárrá változtatja.

Egy sor, amely szerint „Ana hordozható gépe, társ nyilvános kulcsa, kiadva március 12-én”, elég a cselekvéshez.

Az eltávolítás folyamat, nem gomb

Jegyezze fel, hogyan lehet pontosan egy eszközt letiltani, és hogy az aktív munkamenetnek külön lezárási lépésre van-e szüksége. Ellenőrizze a tartósságot, hogy egy újraindítás vagy egy régi konfigurációmentés ne hozza vissza az engedélyezést. Erősítse meg, hogy az eltávolítás hatott, azzal hogy megpróbál csatlakozni az eltávolított eszközről. Ezután ellenőrizze, hogy más is hivatkozott-e erre az identitásra, például egy megfigyelő szonda vagy egy megosztott útvonal.

A lépés, amelyet az emberek kihagynak, az utolsó, és ez az egyetlen, amely bizonyítja a változást.

Csere sorrendje

Először adja ki az új eszközt, ellenőrizze a szükséges erőforráshoz képest, majd vonja ki a régit. A kivétel a kitettség: ha a régi eszköz idegen kézben lehet, először távolítsa el, és fogadja el a megszakítást.

Mindenesetre tekintse át a kivont hardverre mentett exportokat, mielőtt az elhagyja az épületet.

Mit adnak a külön identitások

Három dolgot, és mindegyik egy incidens során mutatkozik meg:

• Egy eszköz visszavonása a többi érintése nélkül.
• Egy kapcsolat hozzárendelése eszközhöz, nem csoporthoz.
• Egy hiba magyarázata anélkül, hogy mindenki tevékenységét gyűjtenénk.

Az üzemeltető útmutatása a saját kiépítési modelljének mértéke, akár társankénti kulcsok, mint a WireGuard gyorsindításában, akár egyedi tanúsítványok helyi hatóságtól. A külön rekordok jelentik a különbséget egy átgondolható flotta és egy csak újraindítható flotta között.