デバイスごとに1つの VPN アイデンティティ: 共有が削除を壊す理由

ノートPC、スマートフォン、タブレットに一つのプロファイルをコピーすると、そのうちの一台を失うまでは問題なく動きます。その時点での選択は、同じアイデンティティを共有するすべてのデバイスを止めるか、望まないアクセスをそのまま残すかです。どちらも、三つのアイデンティティを発行するのに必要だった十分より悪い選択です。仕組みは複雑ではありません。VPN ピアは認可の記録であり、デバイスごとに一つの記録があることが、削除を一つの正確な操作に変えます。

共有プロファイルが共有するもの

秘密鍵をコピーすることは、認可全体をコピーすることです。ピアのエントリ、トンネルのアドレス、そしてそれに付随するすべてのルートとポリシーが含まれます。サーバーはコピーを区別できません。プロトコルはピアをデバイスではなく鍵で識別するからです。すべてのログ行、すべての上限、すべての失効判断が、グループに適用されます。したがって共有プロファイルは、小さなセキュリティコストを伴う便利さではなく、複数のデバイスがぶら下がった単一の障害点です。

同じ論理は、証明書を一つだけ持つ共有アカウントにも当てはまります。

手元にあるアイデンティティモデルで発行する

WireGuard の展開なら、デバイスごとに別々のピア鍵を認可できます。証明書ベースの展開なら、自前の認証局から個別のクライアント証明書を発行できます。アカウントシステムは、製品によってはユーザーを別々のデバイス記録と結びつけられます。運用者のサポートする登録手順を使ってください。新しいローカルの秘密を作っても、ピアやゲートウェイが対応する認可を認識するまでは何も起きません。

サポートされた道は、次のアップグレードを生き延びる道でもあります。

秘密を含まない台帳

デバイスのラベル、公開識別子、所有者を、検索できる台帳に残します。その台帳に秘密鍵をコピーしないでください。資産一覧が資格情報の保管庫になってしまいます。

「アナのノートPC、ピア公開鍵、12 日に発行」と書いた一行があれば、行動できます。

削除は手順であり、ボタンではない

一台だけを無効化する手順と、アクティブなセッションに別途の終了手順が必要かどうかを記録します。永続性を確認し、再起動や古い設定バックアップが認可を復活させないようにします。削除したデバイスから接続を試みて、削除が効いたことを確かめます。そのうえで、監視プローブや共有ルートなど、そのアイデンティティを参照していた他のものがなかったかを確認します。

人が飛ばすのは最後の手順であり、それが変更を証明する唯一の手順です。

交換の順序

まず新しいデバイスを発行し、必要なリソースに対して検証してから、古いほうを退役させます。例外は露出です。古いデバイスが他人の手にある可能性があるなら、先に削除し、中断を受け入れます。

いずれにせよ、退役したハードウェアが建物を出る前に、そこに保存されたエクスポートを見直します。

別々のアイデンティティがもたらすもの

三つのことがあり、どれもインシデントの最中に現れます：

• 他のデバイスに触れずに一台を失効させる。
• 接続をグループではなくデバイスに帰属させる。
• 全員の活動を集めずに障害を説明する。

運用者のガイダンスは、その運用者自身の払い出しモデルに関する権威です。WireGuard クイックスタートのようなピアごとの鍵でも、ローカル認証局による個別証明書でも同じです。記録が分かれているかどうかが、筋道を立てて考えられる艦隊と、リセットしかできない艦隊の違いになります。