Жоголгон VPN түзмөгүн жокко чыгаруу: ачкыч, сертификат же аккаунт

Ноутбугуңуз жоголду, ал эми VPN аны дагы эле кардар катары тизмелейт. Шашылыш суроо — эми сизде жок машинадагы профилди кантип өчүрүү эмес, сервер кайсы инсанды дагы эле кабыл алат. WireGuard ачык ачкычты текшерет, PKI негизиндеги OpenVPN конфигурация кардар сертификатын текшерет, ал эми SSO колдонгон VPN аккаунтту жана анын сессия токенин текшерет. Бул үчөө ар башка жерде жана ар башка ылдамдыкта жокко чыгарылат, ал эми бирөөнү оңдоп, калгандарын этибарга албоо — жоголгон түзмөктүн туташып турушунун жолу.

Үч инсан жана алардын ар бири эмнени башкарат

Ар бир механизм башка суроого жооп берет. Өнөктөш ачкычы бул сиз каттаган машинабы дегенге жооп берет. Сертификат ага сиздин CA кол койгонбу жана жокко чыгарылбадыбы дегенге жооп берет. Аккаунт бул адам жетиштүү жакында аутентификациядан өттүбү дегенге жооп берет. Экөөнү катмарлаштырган жайылтуу, мисалы сертификат жана каталогго кирүү, түзмөккө бир нерсе берген ар бир катмарга аны кабыл алууну токтотуу айтылганда гана эшикти жабат.

Практикалык тузак — жоголгон машина ар бир ыйгарым укуктун жеке жарымын кармайт, ошондуктан жергиликтүү жасаганыңыз серверге жетпейт.

WireGuard: өнөктөштү алып салыңыз, анткени жокко чыгаруу тизмеси жок

WireGuard эч кандай тыюу тизмесин кармабайт. Интерфейс өнөктөш катары конфигурацияланган ачык ачкычтарды так кабыл алат, ошондуктан жокко чыгаруу — өчүрүү: wg set wg0 peer <public-key> remove аткарыңыз, бул форма wg(8) ичинде документтелген, анан wg0.conf ичинен дал келген [Peer] блогун өчүрүңүз. Экөөнү тең жасаңыз. Аткаруу учурундагы гана алып салуу кийинки кайра жүктөөгө же конфигурацияны кайра жүктөөгө чейин сакталат, ошондо файл ачкычты кайра коёт.

Учурдагы сессиялар өлүү үчүн таймер талап кылбайт. Өнөктөштү алып салуу анын кол алышуусун жана ачкыч материалын таштайт, ошондуктан жарактуу ачкыч жуп кайра талап кылынганда трафик токтойт. Серверде wg show wg0 latest-handshakes текшериңиз: жоголгон ачкычтын жазуусу жок болушу жана жок бойдон калышы керек, ал эми башка өнөктөштөр жакынкы доорлорду билдирүүнү улантат.

Бир эскертүү көрүнгөндөн маанилүүрөөк. Эгер жоголгон түзмөк бирөө бир конфигурация файлын көчүргөндүктөн башка түзмөктөр менен ачкыч бөлүшсө, ошол ачкычты алып салуу алардын баарын ажыратат; бул дагы эле туура кадам, жана андан кийин жалпы ачкычты калыбына келтирүүнүн ордуна ар бир түзмөк үчүн өзүнчө ачкыч чыгарасыз.

Сертификаттар: CRL демон аны окуганда гана эсепке алынат

Сертификатка негизделген кирүү адамдар өткөрүп жиберген бир кадамды кошот. easyrsa revoke laptop-01 CA маалымат базасында сертификатты жокко чыгарылган деп белгилейт, бирок VPN ал базадан эч нерсе үйрөнбөйт. Андан кийин easyrsa gen-crl аткарып crl.pem жазасыз, аны сервердин crl-verify опциясында аталган жолго көчүрөсүз жана иштеп жаткан демон жаңы файлды колдонуп жатканын ырастайсыз. CRLди кайра түзбөй жана таратпай жокко чыгаруу натыйжасыз.

Убакыт — экинчи жарымы. CRL кардар туташканда же кайра сүйлөшүү жүргүзгөндө каралат, ошондуктан түзүлгөн туннель ошого чейин өткөрүүнү уланта алат. Эгер түзмөктү дароо ажыратуу керек болсо, кийинки кол алышууну күтүүнүн ордуна OpenVPN башкаруу интерфейси аркылуу ошол сессияны ачык бүтүрүңүз. Кызматты кайра жүктөө же кайра баштоо, жайылтуу CRLди кантип жүктөгөнүнө жараша, өзгөртүүнүн бөлүгү жана милдеттүү эмес кошумча эмес.

Текшерүүнү башка машинадан жүргүзгөн жөн: жокко чыгарылган сертификатты көрсөтүп, кол алышуунун иштебей калышын күтүңүз, адатта VERIFY ERROR: depth=0, error=certificate revoked. Эгер байланыш дагы эле ийгиликтүү болсо, кардар сиз жаңырткандан башка CRLди окуп жатат.

Аккаунттар жана сессиялар: өчүрүү — кууп чыгаруу эмес

Каталог же SSO аркылуу кирүүлөр аутентификация учурунда текшерилет. Аккаунтту өчүрүү кийинки кирүүнү тосотот, бирок жаңыртуу токени жана түзүлгөн туннель мөөнөтү бүткөнгө чейин иштешин уланта алат. Ошол колдонуучунун сессияларын жана токендерин жокко чыгарыңыз, же инсан камсыздоочу колдосо, сессия версиясын көтөрүңүз. Жоголгон түзмөктү MFA каттоосунан да алып салыңыз, анткени катталган аутентификатор өзү эле кирүү жолу.

RADIUS негизиндеги VPNдер активдүү сессияны түшүрүү үчүн ажыратуу билдирүүсүн же укук өзгөрүүсүн жөнөтө алат, бирок ар бир тармактык кирүү сервери аны аткарбайт. Шектенүү болсо, колдонуучунун сессиясын сервер тараптан бүтүрүңүз жана журналдарда эски сессия жабылганын ырастаңыз.

Кийинки саатка аракеттердин тартиби

Кардардан эмес, инвентардан баштаңыз: түзмөккө байланган ар бир инсанды тизмелеңиз, өнөктөш ачкычыбы, сертификаттын сериялык номериби же аккаунтпу. Байланыш түзүлгөн тартипте ар бир чыгаруучу системада жокко чыгарыңыз, башкача айтканда адегенде аккаунт, анан сертификат, анан өнөктөш. Анан өзүңүз көзөмөлдөгөн машинадан баш тартууну далилдеңиз.

Эки кошумча иш аракетти унутуу оңой. Биринчиден, түзмөктө болгон бардык башка нерсени алмаштырыңыз, өзгөчө SSH ачкычтарын, булут консолунун ыйгарым укуктарын жана жалпы WireGuard алдын ала бөлүнгөн ачкычын. Экинчиден, конфигурацияны башкаруу, сүрөттөр же алтын образдар кийинки кайра курууда өчүрүлгөн кардарды кайтара албастыгын текшериңиз.

Туруктуу чечим — ар бир түзмөккө бир инсан. Ар бир ноутбук өзүнүн өнөктөш ачкычын же сертификатын алып жүрсө, жоготуу бүт флотту кайра куруунун ордуна бир жокко чыгаруу буйругуна жана бир кайра чыгарууга турат.