Viena VPN tapatybė vienam įrenginiui: kodėl bendrinimas sugadina pašalinimą

Vienas profilis, nukopijuotas į nešiojamąjį kompiuterį, telefoną ir planšetę, veikia gerai tol, kol vienas jų nepametamas. Tuo metu pasirinkimas yra nutraukti kiekvieną tapatybę bendrinantį įrenginį arba palikti nepageidaujamą prieigą vietoje. Abu variantai blogesni už tas dešimt minučių, kurių būtų prireikę išduoti tris tapatybes. Mechanizmas nesudėtingas: VPN partneris yra autorizacijos įrašas, o vienas įrašas vienam įrenginiui yra tai, kas pašalinimą paverčia vienu tiksliu veiksmu.

Ką bendrina bendrinamas profilis

Privataus rakto kopijavimas kopijuoja visą autorizaciją: partnerio įrašą, tunelio adresą ir visus su juo susietus maršrutus bei politikas. Serveris negali atskirti kopijų, nes protokolas partnerį atpažįsta pagal raktą, o ne pagal įrenginį. Kiekviena žurnalo eilutė, kiekviena riba ir kiekvienas panaikinimo sprendimas taikomi grupei. Todėl bendrinamas profilis nėra patogumas su maža saugumo kaina, jis yra vienas gedimo taškas, prie kurio prijungta keletas įrenginių.

Ta pati logika galioja bendrai paskyrai, turinčiai vieną sertifikatą.

Aprūpinkite pagal turimą tapatybės modelį

WireGuard diegimas gali autorizuoti atskirus partnerio raktus, po vieną įrenginiui. Sertifikatais pagrįstas diegimas gali išduoti atskirus kliento sertifikatus iš savo institucijos. Paskyrų sistema gali sujungti naudotoją su atskirais įrenginio įrašais, priklausomai nuo produkto. Naudokite operatoriaus palaikomą registracijos procesą, nes naujos vietinės paslapties generavimas nieko nedaro, kol partneris ar šliuzas nepripažįsta atitinkamos autorizacijos.

Palaikomas kelias yra ir tas, kuris išgyvena kitą atnaujinimą.

Sąrašas be paslapčių

Laikykite įrenginio žymą, viešą identifikatorių ir savininką sąraše, kuriame galite ieškoti. Nekopijuokite privačių raktų į tą sąrašą, nes jis turto sąrašą paverčia prisijungimo duomenų saugykla.

Eilutės „Anos nešiojamasis kompiuteris, viešas partnerio raktas, išduotas kovo 12 d.“ pakanka veikti.

Pašalinimas yra procedūra, o ne mygtukas

Užsirašykite, kaip išjungti tiksliai vieną įrenginį ir ar aktyviai sesijai reikia atskiro nutraukimo žingsnio. Patikrinkite išliekamumą, kad perkrovimas ar sena konfigūracijos atsarginė kopija negrąžintų autorizacijos. Patvirtinkite, kad pašalinimas suveikė, bandydami prisijungti iš pašalinto įrenginio. Tada patikrinkite, ar kas nors kitas nurodė tą tapatybę, pavyzdžiui, stebėjimo zondas ar bendrinamas maršrutas.

Žingsnis, kurį žmonės praleidžia, yra paskutinis, ir jis vienintelis įrodo pokytį.

Pakeitimo tvarka

Pirmiausia išduokite naują įrenginį, patikrinkite jį pagal reikalingą išteklių, tada nurašykite seną. Išimtis yra pavojus: jei senas įrenginys gali būti kieno nors kito rankose, pirmiausia jį pašalinkite ir priimkite pertrauką.

Bet kuriuo atveju peržiūrėkite išsaugotus eksportus nurašytoje techninėje įrangoje, prieš jai paliekant pastatą.

Ką duoda atskiros tapatybės

Trys dalykai, ir kiekvienas išryškėja per incidentą:

• Panaikinti vieną įrenginį neliečiant kitų.
• Priskirti ryšį įrenginiui, o ne grupei.
• Paaiškinti gedimą nerenkant visų veiklos.

Operatoriaus rekomendacijos yra autoritetas jo paties aprūpinimo modeliui, ar tai būtų atskiri partnerio raktai, kaip WireGuard greitoje pradžioje, ar atskiri sertifikatai iš vietinės institucijos. Atskiri įrašai yra skirtumas tarp laivyno, apie kurį galima mąstyti, ir laivyno, kurį galima tik atstatyti.