Жоғалған VPN құрылғысын қайтарып алу: кілт, сертификат немесе аккаунт

Ноутбугіңіз жоқ болды, ал VPN оны әлі де клиент ретінде тізімдейді. Шұғыл сұрақ — енді сізде жоқ машинадағы профильді қалай жою емес, сервер қандай бірегейлікті әлі қабылдайтыны. WireGuard ашық кілтті тексереді, PKI негізіндегі OpenVPN конфигурация клиент сертификатын тексереді, ал SSO-мен жұмыс істейтін VPN аккаунт пен оның сессия токенін тексереді. Бұл үшеуі әртүрлі жерде және әртүрлі жылдамдықпен қайтарылып алынады, ал біреуін түзеп, қалғандарын елемеу — жоғалған құрылғының қосылып тұруының жолы.

Үш бірегейлік және олардың әрқайсысы нені басқарады

Әр механизм басқа сұраққа жауап береді. Серіктес кілті бұл сіз тіркеген машина ма дегенге жауап береді. Сертификат оны CA-ыңыз қол қойды ма және қайтарылып алынбады ма дегенге жауап береді. Аккаунт бұл адам жеткілікті жақында аутентификациядан өтті ме дегенге жауап береді. Екеуін бірінің үстіне қабаттайтын орналастыру, мысалы сертификат және каталогқа кіру, құрылғыға бірдеңе берген әр қабатқа оны қабылдауды тоқтату айтылғанда ғана есікті жабады.

Практикалық тұзақ — жоғалған машина әрбір тіркелгінің жеке жартысын ұстайды, сондықтан жергілікті жасағаныңыз серверге жетпейді.

WireGuard: серіктесті жойыңыз, себебі қайтарып алу тізімі жоқ

WireGuard ешқандай тыйым тізімін ұстамайды. Интерфейс серіктес ретінде конфигурацияланған ашық кілттерді дәл қабылдайды, сондықтан қайтарып алу — жою: wg set wg0 peer <public-key> remove орындаңыз, бұл нысан wg(8)-де құжатталған, содан кейін wg0.conf ішінен сәйкес [Peer] блогын жойыңыз. Екеуін де жасаңыз. Тек орындалу кезінде жою келесі қайта жүктеуге немесе конфигурацияны қайта жүктеуге дейін сақталады, сонда файл кілтті қайтадан қояды.

Қолданыстағы сессиялар өлу үшін таймер қажет етпейді. Серіктесті жою оның қол алысуын және кілт материалын тастайды, сондықтан жарамды кілт жұбы қайтадан қажет болғанда трафик тоқтайды. Серверде wg show wg0 latest-handshakes тексеріңіз: жоғалған кілттің жазбасы жоғалып, жоғалған күйінде қалуы керек, ал басқа серіктестер жақындағы дәуірлерді хабарлауды жалғастырады.

Бір ескерту көрінгеннен де маңыздырақ. Егер жоғалған құрылғы біреу бір конфигурация файлын көшіргендіктен басқа құрылғылармен кілт бөліссе, сол кілтті жою олардың барлығын ажыратады; бұл әлі де дұрыс қадам, содан кейін ортақ кілтті қалпына келтірудің орнына әр құрылғыға жеке кілт шығарасыз.

Сертификаттар: CRL демон оны оқыған жағдайда ғана есептеледі

Сертификатқа негізделген қатынау адамдар өткізіп жіберетін бір қадамды қосады. easyrsa revoke laptop-01 CA дерекқорында сертификатты қайтарылып алынған деп белгілейді, бірақ VPN бұл дерекқордан ештеңе үйренбейді. Содан кейін easyrsa gen-crl орындап crl.pem жазасыз, оны сервердің crl-verify опциясында аталған жолға көшіресіз және жұмыс істеп тұрған демонның жаңа файлды пайдаланып жатқанын растайсыз. CRL-ді қайта жасамай және таратпай қайтарып алу тиімсіз.

Уақыт — екінші жартысы. CRL клиент қосылғанда немесе қайта келіссөз жүргізгенде қаралады, сондықтан орнатылған туннель сол уақытқа дейін жіберуді жалғастыра алады. Егер құрылғыны дереу ажырату қажет болса, келесі қол алысуды күтудің орнына OpenVPN басқару интерфейсі арқылы сол сессияны анық тоқтатыңыз. Қызметті қайта жүктеу немесе қайта іске қосу, орналастырудың CRL-ді қалай жүктейтініне байланысты, өзгерістің бөлігі және міндетті емес қосымша емес.

Тексеруді басқа машинадан жүргізген жөн: қайтарылып алынған сертификатты ұсынып, қол алысудың сәтсіздігін күтіңіз, әдетте VERIFY ERROR: depth=0, error=certificate revoked. Егер қосылым әлі де сәтті болса, клиент сіз жаңартқаннан басқа CRL-ді оқып жатыр.

Аккаунттар мен сессиялар: өшіру — қуып шығу емес

Каталог немесе SSO арқылы кіру аутентификация кезінде тексеріледі. Аккаунтты өшіру келесі кіруді бөгейді, бірақ жаңарту токені мен орнатылған туннель мерзімі бітпейінше жұмысын жалғастыруы мүмкін. Сол пайдаланушының сессиялары мен токендерін қайтарып алыңыз немесе бірегейлік провайдері қолдаса, сессия нұсқасын көтеріңіз. Жоғалған құрылғыны MFA тіркелімінен де алып тастаңыз, өйткені тіркелген аутентификатор өзіндік қатынау жолы.

RADIUS негізіндегі VPN-дер белсенді сессияны тастау үшін ажырату хабарламасын немесе рұқсат өзгерісін жібере алады, бірақ әр желілік қатынау сервері оны ұстанбайды. Күмән болса, пайдаланушының сессиясын сервер жағынан аяқтаңыз және журналдарда ескі сессияның жабылғанын растаңыз.

Келесі сағатқа арналған әрекеттер тәртібі

Клиенттен емес, түгендеуден бастаңыз: құрылғыға байланысты әрбір бірегейлікті, серіктес кілті, сертификат сериялық нөмірі немесе аккаунт болсын, тізімдеңіз. Қосылым құрылатын тәртіппен әр шығарушы жүйеде қайтарып алыңыз, яғни алдымен аккаунт, содан кейін сертификат, содан кейін серіктес. Содан кейін басқаратын машинаңыздан бас тартуды дәлелдеңіз.

Екі қосымша әрекетті ұмыту оңай. Біріншіден, құрылғыда болған барлық басқа нәрсені ауыстырыңыз, әсіресе SSH кілттерін, бұлт консолінің тіркелгі деректерін және ортақ WireGuard алдын ала бөлінген кілтін. Екіншіден, конфигурацияны басқару, суреттер немесе алтын бейнелер келесі қайта құру кезінде жойылған клиентті қайтара алмайтынын тексеріңіз.

Тұрақты шешім — әр құрылғыға бір бірегейлік. Әр ноутбук өз серіктес кілтін немесе сертификатын алып жүрсе, жоғалту бүкіл флотты қайта құрудың орнына бір қайтарып алу бұйрығы мен бір қайта шығаруға тұрарлық.