Satu identitas VPN per perangkat: mengapa berbagi merusak pencabutan

Satu profil yang disalin ke laptop, ponsel, dan tablet bekerja baik sampai salah satunya hilang. Pada titik itu pilihannya adalah menghentikan setiap perangkat yang berbagi identitas atau membiarkan akses yang tidak diinginkan tetap ada. Kedua opsi lebih buruk daripada sepuluh menit yang diperlukan untuk menerbitkan tiga identitas. Mekanismenya tidak rumit: peer VPN adalah catatan otorisasi, dan satu catatan per perangkat itulah yang mengubah pencabutan menjadi satu tindakan tepat.

Apa yang dibagikan profil bersama

Menyalin kunci privat menyalin seluruh otorisasi: entri peer, alamat terowongan, serta rute dan kebijakan yang melekat padanya. Server tidak dapat membedakan salinannya, karena protokol mengenali peer dari kunci, bukan dari perangkat. Setiap baris log, setiap batas, dan setiap keputusan pencabutan berlaku untuk grup. Jadi profil bersama bukan kenyamanan dengan biaya keamanan kecil, melainkan satu titik kegagalan dengan beberapa perangkat menempel padanya.

Logika yang sama berlaku untuk akun bersama yang menyimpan satu sertifikat.

Sediakan melalui model identitas yang Anda punya

Penerapan WireGuard dapat mengotorisasi kunci peer terpisah, satu per perangkat. Penerapan berbasis sertifikat dapat menerbitkan sertifikat klien individual dari otoritasnya sendiri. Sistem akun dapat menggabungkan pengguna dengan catatan perangkat terpisah, tergantung produk. Gunakan proses pendaftaran yang didukung operator, karena membuat rahasia lokal baru tidak melakukan apa pun sampai peer atau gateway mengenali otorisasi yang sesuai.

Jalur yang didukung juga jalur yang bertahan pada peningkatan berikutnya.

Inventaris tanpa rahasia

Simpan label perangkat, pengenal publik, dan pemilik dalam inventaris yang dapat Anda telusuri. Jangan menyalin kunci privat ke inventaris itu, karena mengubah daftar aset menjadi penyimpanan kredensial.

Baris yang berbunyi “Laptop Ana, kunci publik peer, diterbitkan 12 Maret” sudah cukup untuk bertindak.

Pencabutan adalah prosedur, bukan tombol

Catat cara menonaktifkan tepat satu perangkat dan apakah sesi aktif memerlukan langkah penghentian terpisah. Periksa persistensi, agar mulai ulang atau cadangan konfigurasi lama tidak memasukkan kembali otorisasi. Pastikan pencabutan berlaku dengan mencoba menghubungkan dari perangkat yang dicabut. Lalu periksa apakah ada hal lain yang merujuk identitas itu, seperti probe pemantauan atau rute bersama.

Langkah yang dilewatkan orang adalah yang terakhir, dan hanya itu yang membuktikan perubahan.

Urutan penggantian

Terbitkan perangkat baru lebih dulu, verifikasi terhadap sumber daya yang dibutuhkannya, lalu pensiunkan yang lama. Pengecualiannya adalah paparan: jika perangkat lama mungkin berada di tangan orang lain, cabut dulu dan terima gangguan.

Bagaimanapun, tinjau ekspor tersimpan pada perangkat keras yang dipensiunkan sebelum meninggalkan gedung.

Apa yang diberikan identitas terpisah

Tiga hal, dan masing-masing muncul saat insiden:

• Mencabut satu perangkat tanpa menyentuh yang lain.
• Mengaitkan koneksi ke perangkat, bukan ke grup.
• Menjelaskan kegagalan tanpa mengumpulkan aktivitas semua orang.

Panduan operator adalah otoritas atas model penyediaannya sendiri, entah kunci per peer seperti pada mulai cepat WireGuard atau sertifikat individual dari otoritas lokal. Catatan yang berbeda adalah perbedaan antara armada yang bisa Anda pikirkan dan armada yang hanya bisa Anda setel ulang.