Wéi een e verluerene VPN-Apparat annuléiert: Schlëssel, Zertifikat oder Kont

Ären Laptop ass fort, an de VPN féiert en nach ëmmer als Client. D'Dringlech Fro ass net wéi een de Profil op enger Maschinn läscht, déi een net méi huet, mä wéi eng Identitéit de Server nach akzeptéiert. WireGuard iwwerpréift en ëffentleche Schlëssel, eng PKI-baséiert OpenVPN Konfiguratioun iwwerpréift e Clientzertifikat, an e VPN mat SSO iwwerpréift e Kont an säin Zittings-Token. Déi dräi ginn op verschiddene Plazen an a verschiddenem Tempo annuléiert, an een ze reparéieren an déi aner ze ignoréieren ass de Wee wéi en verluerenen Apparat verbonne bleift.

Dräi Identitéiten a wat jiddwereen dovun controlléiert

All Mechanismus äntwert op eng aner Fro. E Peer-Schlëssel äntwert ob dëst d'Maschinn ass déi Dir ageschriwwen hutt. En Zertifikat äntwert ob et vun Ärer CA ënnerschriwwe gouf an net annuléiert ass. E Kont äntwert ob dës Persoun sech rezent genuch authentifizéiert huet. Eng Installatioun déi zwee dovun iwwereneestapelt, zum Beispill Zertifikat plus Verzeechnes-Login, mécht d'Dier nëmmen zou wann all Schicht déi dem Apparat eppes ausgestallt huet gesot krut et net méi ze akzeptéieren.

De praktesche Fallstrack ass datt déi fehlend Maschinn déi privat Hallschent vun all Umeldungsdaten hält, dofir erreecht näischt wat Dir lokal maacht de Server.

WireGuard: huelt de Peer eraus, well et keng Annulléierungslëscht gëtt

WireGuard féiert keng Verbodslëscht. D'Interface akzeptéiert genee déi ëffentlech Schlësselen déi als Peeren ageriicht sinn, dofir ass Annuléieren Läschen: fëllt wg set wg0 peer <public-key> remove aus, d'Form déi an wg(8) dokumentéiert ass, läscht duerno de passenden [Peer]-Block aus wg0.conf. Maacht béides. Eng Entfernung nëmmen zur Lafzäit hält bis zum nächsten Neistart oder Neeluede vun der Konfiguratioun, wou d'Datei de Schlëssel erëm agrëift.

Bestehend Zittunge brauchen keen Timer fir ze stierwen. D'Entferne vum Peer verwërft säin Handshake a säi Schlësselmaterial, dofir stoppt den Traffic soubal en valabele Schlësselpaar erëm gebraucht gëtt. Préift wg show wg0 latest-handshakes um Server: den Andrag fir de verluerene Schlëssel soll verschwannen a verschwonn bleiwen, während déi aner Peeren weider frësch Epoche mellen.

Eng Warnung ass wichteger wéi se ausgesäit. Wann den verluerenen Apparat e Schlëssel mat aneren Apparater gedeelt huet well een eng Konfiguratiounsdatei kopéiert huet, da trennt d'Entferne vun deem Schlëssel se all; dat ass ëmmer nach de richtege Schrëtt, an duerno gitt Dir Schlëssele pro Apparat eraus amplaz de gedeelten erëm hierzestellen.

Zertifikater: eng CRL zielt nëmmen wann den Daemon se liest

Zertifikatsbaséierten Zougang füügt e Schrëtt dobäi deen d'Leit iwwersprangen. easyrsa revoke laptop-01 markéiert den Zertifikat an der CA-Datebank als annuléiert, mä de VPN léiert näischt aus där Datebank. Duerno fëllt Dir easyrsa gen-crl aus fir crl.pem ze schreiwen, kopéiert en op de Pad dee an der Optioun crl-verify vum Server genannt ass, a bestätegt datt den aktiven Daemon déi nei Datei benotzt. Annuléieren ouni d'CRL nei ze generéieren an ze verdeelen ass ouni Wierkung.

D'Timing ass déi zweet Hallschent. Eng CRL gëtt consultéiert wann e Client sech verbënnt oder nei verhandelt, dofir kann en etabléierten Tunnel bis dohin nach weiderleeden. Wann den Apparat direkt ofgeschnidden muss ginn, beendet déi Zittung ausdrécklech iwwer d'OpenVPN-Verwaltungsinterface amplaz op den nächsten Handshake ze waarden. Den Neelueden oder Neistarte vum Service, jee nodeem wéi d'Installatioun d'CRL luedt, gehéiert zur Ännerung an ass keen optionalen Extra.

D'Verifikatioun ass et wäert vun enger anerer Maschinn aus ze maachen: presentéiert den annuléierten Zertifikat a erwaart en Handshake-Feeler, typesch VERIFY ERROR: depth=0, error=certificate revoked. Wann d'Verbindung nach ëmmer geléngt, liest de Client eng aner CRL wéi déi Dir aktualiséiert hutt.

Konten an Zittungen: desaktivéieren ass net datselwecht wéi erauswerfen

Verzeechnes- oder SSO-Loginen ginn zur Zäit vun der Authentifikatioun iwwerpréift. D'Desaktivéiere vum Kont blockéiert den nächste Login, mä den Erfrëschungstoken an den etabléierten Tunnel kënnen nach bis zum Oflee weiderfunktionéieren. Annuléiert d'Zittungen an d'Tokenen vun deem Benotzer, oder erhéicht eng Zittungsversioun wann den Identitéitsprovider dat ënnerstëtzt. Huelt den verluerenen Apparat och aus der MFA-Inschreiwung eraus, well en ageschriwwenen Authentifizéierer selwer en Zougangswee ass.

RADIUS-baséiert VPNen kënnen eng Trennungesnoriicht oder eng Autorisatiounsännerung schécken fir eng aktiv Zittung erofzeschloen, mä net all Netzzougangsserver respektéiert dat. Wann Dir am Zweifel sidd, beendet d'Zittung vum Benotzer vun der Serversäit aus a bestätegt an de Loggen datt déi al Zittung zou ass.

Uerdnung vun den Operatiounen fir déi nächst Stonn

Fänkt beim Inventar un, net beim Client: lëscht all Identitéit op déi mam Apparat verbonnen ass, sief et Peer-Schlëssel, Zertifikatsseriennummer oder Kont. Annuléiert an all erausginn System an der Uerdnung wéi d'Verbindung opgebaut gëtt, also Kont fir d'éischt, dann Zertifikat, dann Peer. Beweist duerno d'Oflehnung vun enger Maschinn déi Dir kontrolléiert.

Zwee Nofollger sinn einfach ze vergiessen. Éischtens, rotéiert alles aneres wat den Apparat hat, besonnesch SSH-Schlësselen, Cloud-Konsolen-Umeldungsdaten an e gedeelte virgedeelte WireGuard-Schlëssel. Zweetens, préift datt Konfiguratiounsverwaltung, Snapshots oder Goldbilder dee entfernten Client beim nächsten Neiopbau net erëm kënne bréngen.

Déi dauerhaft Léisung ass eng Identitéit pro Apparat. Wann all Laptop säin eegene Peer-Schlëssel oder säin eegent Zertifikat dréit, kascht e Verloscht eng Annulléierungscommande an eng Neiausgab amplaz engem Neiopbau vun der ganzer Flott.