Hvernig á að afturkalla týnt VPN-tæki: lykill, skírteini eða reikningur

Fartölvan þín er farin, og VPN-ið skráir hana enn sem biðlara. Brýna spurningin er ekki hvernig á að eyða sniðinu á vél sem þú átt ekki lengur, heldur hvaða auðkenni þjónninn tekur enn við. WireGuard athugar opinberan lykil, uppsetning OpenVPN sem byggir á PKI athugar biðlara-skírteini, og VPN með SSO athugar reikning og lotumerki hans. Þessi þrjú eru afturkölluð á mismunandi stöðum og með mismunandi hraða, og að laga eitt á meðan hinum er sleppt er leiðin sem týnt tæki heldur áfram að vera tengt.

Þrjú auðkenni og hvað hvert þeirra stýrir

Hver aðferð svarar annarri spurningu. Jafningjalykill svarar hvort þetta sé vélin sem þú skráðir. Skírteini svarar hvort CA þitt skrifaði það undir og hvort það hafi ekki verið afturkallað. Reikningur svarar hvort þessi manneskja hafi sannreynt sig nógu nýlega. Uppsetning sem lagar tvö þeirra ofan á hvort annað, til dæmis skírteini ásamt möppuinnskráningu, lokar aðeins hurðinni þegar hverju lagi sem gaf tækinu eitthvað hefur verið sagt að hætta að taka því.

Hagnýta gildran er að vélina sem vantar heldur einkahluta hverrar auðkenningar, svo ekkert sem þú gerir staðbundið nær til þjónsins.

WireGuard: fjarlægðu jafningjann, því enginn afturköllunarlisti er til

WireGuard heldur engum bannlista. Viðmótið tekur nákvæmlega við þeim opinberu lyklum sem eru stilltir sem jafningar, svo afturköllun er eyðing: keyrðu wg set wg0 peer <public-key> remove, formið sem skjalfest er í wg(8), eyðtu síðan samsvarandi [Peer] blokk úr wg0.conf. Gerðu hvort tveggja. Fjarlæging sem aðeins er gerð í keyrslu lifir til næstu endurræsingar eða endurhleðslu stillinga, en þá setur skráin lykilinn aftur.

Núverandi lotur þurfa engan tímateljara til að deyja. Að fjarlægja jafningjann hendir handabandi hans og lykilefni, svo umferð stöðvast um leið og gilt lykilpar er krafist aftur. Athugaðu wg show wg0 latest-handshakes á þjóninum: færslan fyrir týnda lykilinn ætti að hverfa og vera horfin áfram, á meðan aðrir jafningar tilkynna áfram nýleg tímabil.

Ein viðvörun skiptir meira máli en hún virðist. Ef týnda tækið deildi lykli með öðrum tækjum vegna þess að einhver afritaði eina stillingarskrá, aftengir fjarlæging þess lykils þau öll; það er samt rétta ráðið, og þú gefur út lykla fyrir hvert tæki eftir það í stað þess að endurheimta hinn sameiginlega.

Skírteini: CRL gildir aðeins ef dímoninn les hana

Aðgangur byggður á skírteinum bætir við skrefi sem fólk sleppir. easyrsa revoke laptop-01 merkir skírteinið afturkallað í gagnagrunni CA, en VPN-ið lærir ekkert af þeim gagnagrunni. Þú keyrir síðan easyrsa gen-crl til að skrifa crl.pem, afritar það á slóðina sem nefnd er í crl-verify valkostinum á þjóninum og staðfestir að keyrandi dímoninn noti nýju skrána. Afturköllun án þess að endurskapa og dreifa CRL-inu er áhrifalaus.

Tímasetningin er seinni hálfin. CRL er skoðað þegar biðlari tengist eða semur aftur, svo komið göng getur haldið áfram að miðla þangað til. Ef tækið verður að slíta strax, endaðu þá lotuna sérstaklega í gegnum stjórnviðmót OpenVPN í stað þess að bíða eftir næsta handabandi. Endurhleðsla eða endurræsing þjónustunnar, eftir því hvernig uppsetningin hleður CRL-inu, er hluti breytingarinnar og ekki valfrjáls viðbót.

Það er þess virði að staðfesta frá annarri vél: kynntu afturkallaða skírteinið og búðu þig við handabandsmistökum, venjulega VERIFY ERROR: depth=0, error=certificate revoked. Ef tengingin tekst samt, þá les biðlarinn annað CRL en það sem þú uppfærðir.

Reikningar og lotur: að gera óvirkt er ekki það sama og að reka út

Innskráningar í möppu eða með SSO eru athugaðar við sannvottun. Að gera reikninginn óvirkan lokar næstu innskráningu, en endurnýjunarmerkið og komið göng geta haldið áfram að virka þar til þau renna út. Afturkallaðu lotur og merki þess notanda, eða hækkaðu lotuútgáfu ef auðkennisveitandinn styður það. Fjarlægðu týnda tækið líka úr MFA-skráningunni, því skráður sannvottari er sjálfstæð aðgangsleið.

VPN sem byggja á RADIUS geta ýtt áfram aftengingarskilaboði eða breytingu á heimild til að fella virka lotu, en ekki hver netaðgangsþjónn virðir það. Ef þú ert í vafa, endaðu lotu notandans frá þjónshliðinni og staðfestu í annálunum að gamla lotan hafi lokast.

Röð aðgerða fyrir næstu klukkustund

Byrjaðu á birgðaskránni, ekki biðlaranum: skráðu hvert auðkenni sem tengist tækinu, hvort sem það er jafningjalykill, skírteinisnúmer eða reikningur. Afturkallaðu í hverju útgáfukerfi í þeirri röð sem tengingin er byggð, það er reikningur fyrst, svo skírteini, svo jafningi. Sýndu síðan höfnunina frá vél sem þú stjórnar.

Tvö eftirfylgdaratriði er auðvelt að gleyma. Fyrst, snúðu öllu öðru sem tækið hafði, einkum SSH-lyklum, skilríkjum fyrir skýjaskel og sameiginlegum fyrirfram deildum WireGuard-lykli. Annað, athugaðu að stillingastjórnun, skyndimyndir eða gullmyndir geti ekki sett fjarlægða biðlarann aftur inn í næstu endurbyggingu.

Varanlega lausnin er eitt auðkenni á hvert tæki. Þegar hver fartölva ber sinn eigin jafningjalykil eða skírteini, kostar tap eina afturköllunarskipun og endurútgáfu í stað endurbyggingar alls flotans.