Неге сервер кілттері мен пайдаланушы тіркелгі деректеріне бөлек иелер қажет

Шлюзіңіздің өзі екенін дәлелдейтін кілт пен адамның қосылуға құқылы екенін айтатын тіркелгі деректері — екеуі де құпия, ұқсастық сонда бітеді. Біреуі әрбір клиентке қызметті танытса, екіншісі сол қызметке бір пайдаланушыны танытады. Оларды араластыру орнату кезінде бір қадамды үнемдеп, оқиға кезінде жарты күнді жоғалтады, себебі әрқайсысын қалпына келтіру бір операция емес. Бөлу орнатуға зеріктіреді, ал оны өткізіп жіберу есте қалады.

Екі құпия, екі бөлек ие

Шлюз тек қол алысу кезінде өз бірегейлігін дәлелдеуге арналған жеке кілтті немесе сертификатты ұстайды. Клиенттерге оны тексеру үшін сәйкес ашық материал қажет, ал жеке жартысы оларға ешқашан қажет емес. Дәл осы асимметрия әрбір пайдаланушыға серверді бейнелеу қабілетін бермей-ақ сервер аутентификациясын мүмкін етеді.

Пайдаланушы материалы қарсы бағытта жүреді. Клиенттің жеке кілті, клиент сертификаты немесе құпия сөз осы нақты адамға немесе құрылғыға рұқсат берілгенін көрсетеді. Ол таратылады, құрылғылар арасында көшіріледі және ақыр соңында кері қайтарылады деп күтіледі.

WireGuard бөлуді айқын етеді, өйткені әрбір қатысушыда кілт жұбы бар: сервердің жеке кілті серверде қалады, ал пайдаланушыға беретін конфигурация файлында оның өз жеке кілті мен сервердің ашық кілті болады. Сервердің жеке кілтін қамтитын профиль қысқа жол емес, ол файл алмасуын күтіп тұрған бұзушылық.

Бөлуді анықтайтын үш сұрақ

Құпияны кім оқи алуы керек, ашылу шабуылдаушыға не істеуге мүмкіндік береді және түзету бір кері қайтару ма әлде қызметті қайта құру ма, соны сұраңыз.

Егер пайдаланушы оны оқи алса және ол шлюздің бірегейлігін дәлелдесе, екінші сұрақтың жауабы — шабуылдаушы сіздің серверіңізді әрбір клиентке бейнелей алады, бұл ең нашар нәтиже, өйткені клиенттер сол бірегейлікке сенуге арналған. Егер ол тек бір пайдаланушыны дәлелдесе, ашылу сол пайдаланушыға бір әріптеске рұқсат береді, ал кері қайтару қарапайым операция. Егер ол сертификаттау органының кілті болса, ашылу екеуінен де нашар, өйткені шабуылдаушы әрбір соңғы нүкте сенетін бірегейліктер жасай алады.

Бұл үш жауап сақтау ережесін береді: CA кілті офлайн немесе сейфте тұрады, шлюз кілті шлюзде тұрады, ал пайдаланушы кілттері пайдаланушылармен бірге тұрады. Ыңғайлылық үшін үшеуін бір қалтаға салатын кез келген орналасу шешімді апатқа айналдырған.

Клиентке шын мәнінде не қажет

Клиентке ашық сертификат немесе әріптестің ашық кілті, сенуге тиісті CA материалы немесе саусақ ізі, өзінің жеке кілті және соңғы нүктенің мәліметтері қажет. Бұл тізімде шлюздің жеке бірегейлігіне жататын ештеңе жоқ.

Құжаттама — бұл ағып кететін жер. Сервер қалтасын көшіріп, қажетсізін жойыңыз деген нұсқаулық қате модельді үйретіп қойған, өйткені жою қадамынан кейін қалған файлды сирек біреу тексереді.

Шлюзге тиіспей бір пайдаланушыны кері қайтарыңыз

Пайдаланушы бірегейліктері бөлек берілетіндіктен, оларды бөлек қайтаруға болады. Сертификатқа негізделген орналастыру клиент сертификатын кері қайтарып, жаңартылған кері қайтару тізімін жариялайды; WireGuard орналастыруы сервер конфигурациясынан әріптес жазбасын жояды. Бұл операциялардың ешқайсысы шлюздің өз кілтін өзгертпейді.

Берілу жазбасын сақтаңыз, әйтпесе қай бірегейлікті қайтару керегін білмейсіз. Электрондық кесте жеткілікті, егер онда адам, құрылғы, сериялық нөмір немесе ашық кілт және күні көрсетілсе, және оны жасаған адам кеткеннен кейін біреу онымен айналысса.

Төмендегі командалар клиент сертификатын тексереді, содан кейін оны OpenSSL стиліндегі орган арқылы кері қайтарады, easy-rsa дәл осы ағымды қаптайды:

openssl x509 -in client.crt -noout -subject -serial
openssl ca -config openssl.cnf -revoke client.crt
openssl ca -config openssl.cnf -gencrl -out crl.pem

Жаңа тізімді клиенттер тексеретін жерде жариялаңыз, әйтпесе кері қайтару ештеңені өзгертпейтін файлдағы жазба ғана. Егер шлюзіңіз клиент сертификаттарын кері қайтару тізімінсіз қабылдаса, кері қайтару жұмыс істейтінін меңзеудің орнына оны ашық айтыңыз.

Сақтық көшірмелерді құпиялардай бөлек ұстаңыз

Қайта құру архивінде шлюз кілті мен CA материалы заңды түрде болады, өйткені оларсыз қалпына келтіру қызметті қайта жасай алмайды. Клиентті орнату пакетінде болмауы керек және екеуін бірге сақтауға болмайды. Әр архивті кім ұстай алатынына қарай белгілеңіз, жасалған күніне қарай емес. Шаршаған әкімші түнгі екіде дәл сол белгіні оқиды.

Бұл айырмашылық әрқайсысын кім ала алатынын да анықтайды. Шлюзді басқару, пайдаланушы бірегейліктерін беру және сақтық көшірмелерді оқу — үш түрлі өкілеттік, ал біреуі қажет адамға қалғандары автоматты түрде қажет емес. Сол рұқсаттарды жазып қойыңыз, содан кейін оларды сақтауыңыз нақты рұқсат ететін нәрсемен салыстырыңыз, өйткені қалта мұрагерлігі саясат көздегеннен көбірек береді.