Արտահոսած VPN բանալու փոխարինում. ինչ պետք է անի սերվերը
Ֆայլը ջնջելը սերվերի վրա ոչինչ չի փոխում. Փոխարինումը նշանակում է նոր ինքնություն, որը աշխատում է, և հին մեկը, որը դարպասը իսկապես մերժում է, հենց այդ հերթականությամբ։
Կորսվել է հաճախորդի բանալի կրող նոութբուք, և առաջին քայլը սովորաբար տեղական պատճենը ջնջելն է։ Դա ոչինչ չի փոխում սերվերի վրա, որը դեռ պահում է թույլտվություն, որն ընդունելու է այդ բանալին, քանի դեռ ինչ-որ մեկը չի հեռացրել այն։ Փոխարինումը երկու գործողություն է, և միայն երկրորդն է վերաբերում հին հավատարմագրին։
Տեղական պատճենը իշխանությունը չէ
VPN հավատարմագիրը ընդունվում է, որովհետև սերվերի կողմի կարգավորումն այդպես է ասում։ Սերտիֆիկատների դեպքում դա նշանակում է, որ սերտիֆիկատը շղթայվում է վստահելի թողարկողի և չի հայտնվում այն չեղարկման ցանկում, որը ստուգում է դարպասը։ WireGuard-ի դեպքում դա նշանակում է, որ գործընկերոջ հանրային բանալին հայտնվում է ինտերֆեյսի կարգավորման մեջ։ Հաճախորդի վրա ֆայլ ջնջելը հեռացնում է գաղտնիքի մեկ պատճեն և անփոփոխ է թողնում ընդունման կանոնը։
Դա է պատճառը, թե ինչու գողացված բանալին շարունակում է աշխատել ակնհայտ մաքրումից հետո, և թե ինչու միջադեպը լուծված չի թվում նույնիսկ նոր կարգավորումը տեղադրելուց հետո։
Սկսեք սերվերի կանոնից, ապա աշխատեք դեպի դուրս՝ հաճախորդի մոտ։
Սերտիֆիկատներ. որոշումը սերվերի ձեռքում է
Թողարկեք փոխարինումը հենց թողարկողի գործընթացով, որպեսզի նոր ինքնությունը գրանցվի, ապա հետ կանչեք հինը ստորագրված չեղարկմամբ։ Դարպասը պետք է կարգավորված լինի ստուգելու այդ չեղարկման աղբյուրը, և այն պետք է վերբեռնի այն, այլապես ֆայլը մնում է սկավառակի վրա, մինչ թունելը շարունակում է ընդունել հին սերիական համարը։ Ակտիվ սեսիաները կարող են գոյատևել մինչև վերաբանակցումը, այնպես որ պլանավորեք վերամիացում։
Հաստատեք, որ փոխարինումն աշխատում է նախատեսված հավելվածի համար, ապա հաստատված ընթացակարգով հաստատեք, որ դուրս բերված սերտիֆիկատն այլևս մուտք չի սահմանում։
Դրանք երկու տարբեր փորձարկումներ են, և երկուսն էլ պարտադիր են։ RFC 5280-ը սահմանում է սերտիֆիկատի և չեղարկման այն իմաստաբանությունը, որի վրա հենվում է դարպասը։
WireGuard. գործընկերոջ բանալին ինքնությունն է
WireGuard-ը սերտիֆիկատի շերտ չունի. գործընկերոջ հանրային բանալին ինքնությունն է, իսկ սերվերի allowed-ips գրառումը՝ թույլտվությունը։ Հին գործընկերոջ հեռացումը ինտերֆեյսի կարգավորումից հենց չեղարկումն է, և այն անմիջապես կիրառվում է նոր ձեռքսեղմումների վրա։
Գոյություն ունեցող սեսիաները ավարտվում են, երբ հաջորդ ձեռքսեղմումը ձախողվում է, ինչը սովորաբար տեղի է ունենում մի քանի րոպեի ընթացքում, այլ ոչ ակնթարթորեն։
Տարածեք նոր կարգավորումը մի ալիքով, որին վստահ կլինեիք գաղտնաբառ հանձնել, որովհետև մասնավոր բանալին հավատարմագիրն է։ Պահեք մեկ բանալի մեկ սարքի համար, որպեսզի մեկ կորած սարքը չստիպի փոխել բոլոր սարքերը։
Էլ ինչ կար այդ փաթեթում
Հաճախորդի փաթեթը հաճախ կրում է ավելին, քան մասնավոր բանալին. ստատիկ TLS բանալի, օգտանուն և գաղտնաբառ, նախապես համօգտագործված գաղտնիք կամ տրամադրման նշան։ Սահմանափակեք միջադեպը նրանով, ինչ իսկապես բացահայտվել է, և պտտեք նաև այդ տարրերը։ Սերտիֆիկատը պտտելը, մինչ համօգտագործված ստատիկ բանալին մնում է տեղում, փակում է մեկ դուռ և բաց թողնում մյուսը։
Եթե փաթեթը համօգտագործվել է սարքերի միջև, այն կրող յուրաքանչյուր սարք ժառանգում է բացահայտումը։
Գրեք, թե ինչ է պտտվել, որովհետև հաջորդ աուդիտը կհարցնի։
Ապացուցեք մերժումը, ապա գրանցեք փոխարինումը
Փոխարինումն ավարտված է, երբ երկու փաստ պահպանվում է. նոր ինքնությունն աշխատում է նախատեսված ծառայության համար, և հինը մերժվում է։ Ստուգեք երկրորդը դուրս բերված հավատարմագրով փորձարկման միջավայրից, կամ կազմակերպության կողմից հաստատված վերահսկվող փորձով, և կարդացեք դարպասի մատյանները՝ հաստատելու, որ մերժումը եկել է քաղաքականությունից, այլ ոչ թե տպագրական սխալից։ Ապա գրանցեք հին նույնացուցիչը, նորը և փոփոխության ժամը, որովհետև հենց այդ երեք արժեքներն են, որ աուդիտորին պետք են այն վերակառուցելու համար։ Տոմսում ոչ մի այլ բան չի բացատրի այդ բացը։
Պահեք մասնավոր բանալիները տոմսերից և զրույցներից դուրս, և քաղաքականությանը համապատասխան հեռացրեք հնացած արտահանումները պահոցից և պահուստներից։
Առանց մերժման փորձարկման փոխարինումը ենթադրություն է, ոչ թե ուղղում։