Ағып кеткен VPN кілтін ауыстыру: сервер не істеуі керек

Клиент кілті бар ноутбук жоғалды, ал бірінші әрекет әдетте жергілікті көшірмені жою. Бұл серверде ештеңені өзгертпейді, ол әлі де сол кілтті қабылдайтын рұқсатты ұстап тұр, оны біреу жоймайынша. Ауыстыру — екі операция, тек екіншісі ғана ескі тіркелгі деректеріне қатысты.

Жергілікті көшірме билік емес

VPN тіркелгі деректері қабылданады, өйткені сервер жағындағы конфигурация солай дейді. Сертификаттар үшін бұл сертификаттың сенімді шығарушыға тізбектелетінін және шлюз тексеретін қайтарып алу тізімінде жоқ екенін білдіреді. WireGuard үшін бұл теңдестің ашық кілті интерфейс конфигурациясында көрінетінін білдіреді. Клиенттегі файлды жою құпияның бір көшірмесін жояды және қабылдау ережесін қозғалыссыз қалдырады.

Сондықтан ұрланған кілт айқын тазалаудан кейін де жұмысын жалғастырады, және сондықтан жаңа конфигурация орнатылғаннан кейін де оқиға шешілмеген болып көрінеді.

Сервер ережесінен бастаңыз, содан кейін клиентке қарай сыртқа жұмыс істеңіз.

Сертификаттар: шешім серверде

Ауыстыруды шығарушының өз процесі арқылы шығарыңыз, сонда жаңа сәйкестік тіркеледі, содан кейін ескіні қол қойылған қайтарып алумен қайтарып алыңыз. Шлюз сол қайтарып алу көзін тексеретін етіп конфигурациялануы керек және оны қайта жүктеуі керек, әйтпесе файл дискіде жатады, ал туннель ескі сериялық нөмірді қабылдай береді. Белсенді сессиялар қайта келіссөзге дейін де өмір сүре алады, сондықтан қайта қосылуды жоспарлаңыз.

Ауыстырудың мақсатты қолданба үшін жұмыс істейтінін растаңыз, содан кейін бекітілген процесс арқылы зейнетке шығарылған сертификаттың енді рұқсат бермейтінін растаңыз.

Бұл екі түрлі сынақ және екеуі де міндетті. RFC 5280 шлюз сүйенетін сертификат және қайтарып алу семантикасын анықтайды.

WireGuard: теңдестің кілті — сәйкестік

WireGuard-та сертификат қабаты жоқ: теңдестің ашық кілті — сәйкестік, ал сервердің allowed-ips жазбасы — рұқсат. Ескі теңдесті интерфейс конфигурациясынан жою — сол қайтарып алу, және ол жаңа қол алысуларға бірден қолданылады.

Бар сессиялар келесі қол алысу сәтсіз аяқталғанда аяқталады, бұл әдетте лезде емес, бірнеше минут ішінде болады.

Жаңа конфигурацияны құпиясөзді сеніп тапсыратын арна арқылы таратыңыз, өйткені жеке кілт — тіркелгі деректері. Әр құрылғыға бір кілт ұстаңыз, сонда бір жоғалған құрылғы барлық құрылғыны ауыстыруға мәжбүрлемейді.

Бұл бумада тағы не болды

Клиент бумасы жиі жеке кілттен көп нәрсені алып жүреді: статикалық TLS кілті, пайдаланушы аты мен құпиясөз, алдын ала бөлінген құпия немесе беру токені. Оқиғаны шынымен ашылған нәрсемен шектеңіз және сол элементтерді де айналдырыңыз. Сертификатты айналдырып, ортақ статикалық кілтті орнында қалдыру бір есікті жауып, екіншісін ашық қалдырады.

Егер бума құрылғылар арасында ортақ болса, оны алып жүрген әр құрылғы әшкереленуді мұра етеді.

Не айналдырылғанын жазып қойыңыз, өйткені келесі аудит сұрайды.

Бас тартуды дәлелдеңіз, содан кейін ауыстыруды жазыңыз

Ауыстыру екі факт орындалғанда аяқталады: жаңа сәйкестік мақсатты қызмет үшін жұмыс істейді, ал ескісі қабылданбайды. Екіншісін зейнетке шығарылған тіркелгі деректерімен сынақ ортасынан тексеріңіз, немесе ұйым мақұлдаған бақыланатын әрекетпен, және бас тартудың саясаттан келгенін, теріп жазу қатесінен емес екенін растау үшін шлюз журналдарын оқыңыз. Содан кейін ескі идентификаторды, жаңасын және өзгеріс уақытын жазыңыз, өйткені аудиторға оны қайта құру үшін дәл осы үш мән қажет. Билеттегі басқа ештеңе бұл алшақтықты түсіндірмейді.

Жеке кілттерді билеттер мен чаттардан тыс ұстаңыз, және саясатқа сәйкес сақтау қоймасы мен сақтық көшірмелерден ескірген экспорттарды жойыңыз.

Бас тарту сынағы жоқ ауыстыру — болжам, түзету емес.