Cara mencabut perangkat VPN yang hilang: kunci, sertifikat, atau akun

Laptop Anda hilang, dan VPN masih mencantumkannya sebagai klien. Pertanyaan mendesaknya bukan bagaimana menghapus profil di mesin yang sudah tidak Anda miliki, melainkan identitas mana yang masih diterima server. WireGuard memeriksa kunci publik, penyiapan OpenVPN berbasis PKI memeriksa sertifikat klien, dan VPN dengan SSO memeriksa akun serta token sesinya. Ketiganya dicabut di tempat berbeda dan dengan kecepatan berbeda, dan memperbaiki satu sambil mengabaikan yang lain adalah cara perangkat hilang tetap terhubung.

Tiga identitas dan apa yang dikendalikan masing-masing

Setiap mekanisme menjawab pertanyaan berbeda. Kunci peer menjawab apakah ini mesin yang Anda daftarkan. Sertifikat menjawab apakah sertifikat itu ditandatangani CA Anda dan belum dicabut. Akun menjawab apakah orang ini melakukan autentikasi cukup baru. Penerapan yang melapisi dua di antaranya, misalnya sertifikat plus login direktori, hanya menutup pintu bila setiap lapisan yang menerbitkan sesuatu untuk perangkat sudah diberi tahu agar berhenti menerimanya.

Jebakan praktisnya adalah mesin yang hilang menyimpan separuh privat dari setiap kredensial, jadi tidak ada yang Anda lakukan secara lokal menjangkau server.

WireGuard: hapus peer, karena tidak ada daftar pencabutan

WireGuard tidak menyimpan daftar larangan. Antarmuka menerima persis kunci publik yang dikonfigurasi sebagai peer, jadi pencabutan berarti penghapusan: jalankan wg set wg0 peer <public-key> remove, bentuk yang didokumentasikan di wg(8), lalu hapus blok [Peer] yang cocok dari wg0.conf. Lakukan keduanya. Penghapusan hanya saat runtime bertahan sampai reboot atau pemuatan ulang konfigurasi berikutnya, ketika file mengembalikan kunci itu.

Sesi yang ada tidak perlu pengatur waktu untuk mati. Menghapus peer membuang handshake dan materi kuncinya, jadi lalu lintas berhenti begitu pasangan kunci yang sah dibutuhkan lagi. Periksa wg show wg0 latest-handshakes di server: entri untuk kunci yang hilang seharusnya lenyap dan tetap lenyap, sementara peer lain terus melaporkan epoch terbaru.

Satu peringatan lebih penting daripada kelihatannya. Jika perangkat yang hilang berbagi kunci dengan perangkat lain karena seseorang menyalin satu file konfigurasi, menghapus kunci itu memutus semuanya; itu tetap langkah yang benar, dan Anda menerbitkan ulang kunci per perangkat setelahnya alih-alih memulihkan kunci bersama.

Sertifikat: CRL hanya berlaku jika daemon membacanya

Akses berbasis sertifikat menambah langkah yang dilewati orang. easyrsa revoke laptop-01 menandai sertifikat sebagai dicabut di basis data CA, tetapi VPN tidak belajar apa pun dari basis data itu. Anda lalu menjalankan easyrsa gen-crl untuk menulis crl.pem, menyalinnya ke jalur yang disebut dalam opsi crl-verify server, dan memastikan daemon yang berjalan memakai file baru. Mencabut tanpa membuat ulang dan mendistribusikan CRL tidak berefek.

Waktu adalah separuh lainnya. CRL diperiksa saat klien terhubung atau bernegosiasi ulang, jadi terowongan yang sudah terbentuk dapat terus meneruskan sampai saat itu. Jika perangkat harus diputus segera, akhiri sesi itu secara eksplisit melalui antarmuka manajemen OpenVPN daripada menunggu handshake berikutnya. Memuat ulang atau memulai ulang layanan, tergantung bagaimana penerapan memuat CRL, adalah bagian dari perubahan dan bukan tambahan opsional.

Verifikasi layak dilakukan dari mesin lain: ajukan sertifikat yang dicabut dan harapkan kegagalan handshake, biasanya VERIFY ERROR: depth=0, error=certificate revoked. Jika koneksi tetap berhasil, klien membaca CRL yang berbeda dari yang Anda perbarui.

Akun dan sesi: menonaktifkan tidak sama dengan mengusir

Login direktori atau SSO diperiksa pada saat autentikasi. Menonaktifkan akun memblokir login berikutnya, tetapi token penyegaran dan terowongan yang sudah terbentuk bisa terus bekerja sampai kedaluwarsa. Cabut sesi dan token pengguna itu, atau naikkan versi sesi jika penyedia identitas mendukungnya. Hapus juga perangkat yang hilang dari pendaftaran MFA, karena pengautentikasi terdaftar adalah jalur akses tersendiri.

VPN berbasis RADIUS dapat mendorong pesan putus atau perubahan otorisasi untuk menjatuhkan sesi aktif, tetapi tidak setiap server akses jaringan mematuhinya. Jika ragu, akhiri sesi pengguna dari sisi server dan pastikan di log bahwa sesi lama sudah ditutup.

Urutan operasi untuk satu jam ke depan

Mulai dari inventaris, bukan dari klien: daftar setiap identitas yang terkait dengan perangkat, baik kunci peer, nomor seri sertifikat, maupun akun. Cabut di setiap sistem penerbit sesuai urutan koneksi dibangun, yaitu akun dulu, lalu sertifikat, lalu peer. Kemudian buktikan penolakan itu dari mesin yang Anda kendalikan.

Dua tindak lanjut mudah dilupakan. Pertama, rotasi apa pun yang dipegang perangkat, terutama kunci SSH, kredensial konsol cloud, dan kunci prasama WireGuard yang dibagi. Kedua, periksa bahwa manajemen konfigurasi, snapshot, atau image emas tidak dapat memasukkan kembali klien yang dihapus pada pembangunan ulang berikutnya.

Perbaikan tahan lama adalah satu identitas per perangkat. Ketika setiap laptop membawa kunci peer atau sertifikatnya sendiri, kehilangan hanya membutuhkan satu perintah pencabutan dan penerbitan ulang, bukan pembangunan ulang seluruh armada.