Ինչպես չեղարկել կորցրած VPN սարքը՝ բանալի, վկայագիր թե հաշիվ

Ձեր նոթբուքը գնացել է, և VPN-ը դեռ նշում է այն որպես հաճախորդ։ Հրատապ հարցը ոչ թե այն է, թե ինչպես ջնջել պրոֆիլը մի մեքենայում, որն այլևս չունեք, այլ այն, թե որ ինքնությունն է սպասարկիչը դեռ ընդունում։ WireGuard-ը ստուգում է հանրային բանալի, PKI-ի վրա հիմնված OpenVPN կարգավորումը ստուգում է հաճախորդի վկայագիր, իսկ SSO-ով VPN-ը ստուգում է հաշիվ և դրա սեսիայի նշանը։ Այս երեքը չեղարկվում են տարբեր տեղերում և տարբեր արագությամբ, և մեկը շտկելը՝ մյուսներին անտեսելով, հենց այն է, ինչի պատճառով կորցրած սարքը մնում է միացված։

Երեք ինքնություն և ինչ է կառավարում յուրաքանչյուրը

Յուրաքանչյուր մեխանիզմ պատասխանում է տարբեր հարցի։ Զուգընկերոջ բանալին պատասխանում է՝ արդյոք սա այն մեքենան է, որը գրանցել եք։ Վկայագիրը պատասխանում է՝ արդյոք այն ստորագրվել է ձեր CA-ի կողմից և չի չեղարկվել։ Հաշիվը պատասխանում է՝ արդյոք այս մարդը բավական վերջերս է նույնականացել։ Երկուսը շերտավորող տեղադրումը, օրինակ՝ վկայագիր գումարած գրացուցակի մուտք, դուռը փակում է միայն այն ժամանակ, երբ սարքին ինչ-որ բան տված յուրաքանչյուր շերտի ասվել է դադարել ընդունել այն։

Գործնական թակարդն այն է, որ բացակա մեքենան պահում է յուրաքանչյուր հավատարմագրի գաղտնի կեսը, ուստի տեղում արված որևէ բան սպասարկիչ չի հասնում։

WireGuard՝ հեռացրեք զուգընկերոջը, քանի որ չեղարկման ցանկ չկա

WireGuard-ը արգելափակման ցանկ չի պահում։ Միջերեսն ընդունում է հենց այն հանրային բանալիները, որոնք սահմանված են որպես զուգընկերներ, ուստի չեղարկումը ջնջում է՝ գործարկեք wg set wg0 peer <public-key> remove, այն ձևը, որը փաստաթղթավորված է wg(8)-ում, ապա ջնջեք համապատասխան [Peer] բլոկը wg0.conf-ից։ Արեք երկուսն էլ։ Միայն կատարման ժամանակ հեռացումը պահպանվում է մինչև հաջորդ վերագործարկումը կամ կարգավորումների վերբեռնումը, երբ ֆայլը բանալին հետ է դնում։

Գոյություն ունեցող սեսիաներին մեռնելու համար ժամաչափ պետք չէ։ Զուգընկերոջ հեռացումը դեն է նետում նրա ձեռքսեղմումը և բանալու նյութը, ուստի տրաֆիկը կանգ է առնում հենց որ կրկին վավեր զույգ բանալի պահանջվի։ Ստուգեք wg show wg0 latest-handshakes-ը սպասարկիչում՝ կորցրած բանալու գրառումը պետք է անհետանա և անհետացած մնա, մինչդեռ մյուս զուգընկերները շարունակում են հայտնել վերջին դարաշրջանները։

Մեկ զգուշացում ավելի կարևոր է, քան թվում է։ Եթե կորցրած սարքը բանալի էր կիսում այլ սարքերի հետ, որովհետև ինչ-որ մեկը պատճենել էր մեկ կարգավորման ֆայլ, այդ բանալու հեռացումը անջատում է բոլորին՝ դա դեռ ճիշտ քայլ է, և դրանից հետո դուք բանալիներ թողարկում եք յուրաքանչյուր սարքի համար՝ ընդհանուրը վերականգնելու փոխարեն։

Վկայագրեր՝ CRL-ը հաշվի է առնվում միայն այն դեպքում, երբ դեմոնը կարդում է այն

Վկայագրի վրա հիմնված մուտքը ավելացնում է մի քայլ, որը մարդիկ բաց թողնում են։ easyrsa revoke laptop-01-ը CA-ի տվյալների բազայում վկայագիրը նշում է որպես չեղարկված, բայց VPN-ը այդ բազայից ոչինչ չի սովորում։ Այնուհետև գործարկում եք easyrsa gen-crl-ը՝ crl.pem-ը գրելու համար, պատճենում այն սպասարկիչի crl-verify ընտրանքում նշված ուղու վրա և հաստատում, որ աշխատող դեմոնը օգտագործում է նոր ֆայլը։ Չեղարկել առանց CRL-ը վերստեղծելու և տարածելու անիմաստ է։

Ժամանակացույցը երկրորդ կեսն է։ CRL-ին դիմում են, երբ հաճախորդը միանում կամ վերաբանակցում է, ուստի հաստատված թունելը կարող է շարունակել փոխանցել մինչ այդ։ Եթե սարքը պետք է անմիջապես կտրվի, ավարտեք այդ սեսիան բացահայտորեն OpenVPN-ի կառավարման միջերեսով՝ հաջորդ ձեռքսեղմմանը սպասելու փոխարեն։ Ծառայության վերբեռնումը կամ վերագործարկումը, կախված նրանից, թե ինչպես է տեղադրումը բեռնում CRL-ը, փոփոխության մաս է և ոչ թե ընտրովի հավելում։

Արժե ստուգել այլ մեքենայից՝ ներկայացրեք չեղարկված վկայագիրը և սպասեք ձեռքսեղմման ձախողման, սովորաբար VERIFY ERROR: depth=0, error=certificate revoked։ Եթե կապը դեռ հաջողվում է, հաճախորդը կարդում է ձեր թարմացրածից տարբեր CRL։

Հաշիվներ և սեսիաներ՝ անջատումը նույնը չէ, ինչ վտարումը

Գրացուցակի կամ SSO-ի մուտքերը ստուգվում են նույնականացման պահին։ Հաշիվն անջատելը արգելափակում է հաջորդ մուտքը, բայց թարմացման նշանը և հաստատված թունելը կարող են շարունակել աշխատել մինչև դրանց ժամկետը լրանա։ Չեղարկեք այդ օգտվողի սեսիաներն ու նշանները, կամ բարձրացրեք սեսիայի տարբերակը, եթե ինքնության տրամադրողը դա աջակցում է։ Հեռացրեք կորցրած սարքը նաև MFA-ի գրանցումից, քանի որ գրանցված նույնականացուցիչն ինքնին մուտքի ուղի է։

RADIUS-ի վրա հիմնված VPN-ները կարող են ուղարկել անջատման հաղորդագրություն կամ լիազորման փոփոխություն՝ ակտիվ սեսիան գցելու համար, բայց ոչ ամեն ցանցային մուտքի սպասարկիչ է դա հարգում։ Կասկածի դեպքում ավարտեք օգտվողի սեսիան սպասարկիչի կողմից և օրագրերում հաստատեք, որ հին սեսիան փակվել է։

Գործողությունների հերթականությունը հաջորդ ժամի համար

Սկսեք գույքագրումից, ոչ թե հաճախորդից՝ թվարկեք սարքին կապված յուրաքանչյուր ինքնություն՝ լինի դա զուգընկերոջ բանալի, վկայագրի սերիական համար թե հաշիվ։ Չեղարկեք յուրաքանչյուր թողարկող համակարգում այն հերթականությամբ, որով կառուցվում է կապը, այսինքն՝ սկզբում հաշիվը, ապա վկայագիրը, ապա զուգընկերոջը։ Ապա ապացուցեք մերժումը ձեր վերահսկած մեքենայից։

Երկու հետագա քայլ հեշտ է մոռանալ։ Առաջին՝ փոխարինեք այն ամենը, ինչ սարքը պահում էր, հատկապես SSH բանալիները, ամպային կոնսոլի հավատարմագրերը և WireGuard-ի նախապես կիսված բանալին։ Երկրորդ՝ ստուգեք, որ կարգավորումների կառավարումը, պատկերները կամ ոսկե պատկերները չեն կարող վերադարձնել հեռացված հաճախորդին հաջորդ վերակառուցման ժամանակ։

Կայուն լուծումը մեկ ինքնություն է մեկ սարքի համար։ Երբ յուրաքանչյուր նոթբուք կրում է իր զուգընկերոջ բանալին կամ վկայագիրը, կորուստը արժենում է մեկ չեղարկման հրաման և մեկ վերաթողարկում՝ ամբողջ նավատորմի վերակառուցման փոխարեն։