Kaip atšaukti pamestą VPN įrenginį: raktas, sertifikatas arba paskyra

Jūsų nešiojamasis kompiuteris dingo, o VPN vis dar rodo jį kaip klientą. Skubus klausimas ne tas, kaip ištrinti profilį mašinoje, kurios nebeturite, o tai, kurią tapatybę serveris dar priima. WireGuard tikrina viešąjį raktą, PKI pagrįsta OpenVPN konfigūracija tikrina kliento sertifikatą, o VPN su SSO tikrina paskyrą ir jos sesijos žetoną. Šie trys atšaukiami skirtingose vietose ir skirtingu greičiu, o vieno sutvarkymas ignoruojant kitus yra būdas, kuriuo pamestas įrenginys lieka prisijungęs.

Trys tapatybės ir ką kiekviena jų kontroliuoja

Kiekvienas mechanizmas atsako į skirtingą klausimą. Porininko raktas atsako, ar tai ta mašina, kurią įregistravote. Sertifikatas atsako, ar jį pasirašė jūsų CA ir ar jis nebuvo atšauktas. Paskyra atsako, ar šis asmuo pakankamai neseniai autentifikavosi. Diegimas, kuris sluoksniuoja du iš jų, pavyzdžiui, sertifikatas ir katalogo prisijungimas, užrakina duris tik tada, kai kiekvienam sluoksniui, kuris įrenginiui ką nors išdavė, pasakyta nustoti tai priimti.

Praktinė spąsta yra ta, kad trūkstama mašina saugo privačią kiekvieno kredencialo pusę, todėl niekas, ką darote vietoje, nepasiekia serverio.

WireGuard: pašalinkite porininką, nes atšaukimo sąrašo nėra

WireGuard nelaiko jokio draudimo sąrašo. Sąsaja priima būtent tuos viešuosius raktus, kurie sukonfigūruoti kaip porininkai, todėl atšaukimas yra trynimas: paleiskite wg set wg0 peer <public-key> remove, formą, dokumentuotą wg(8), tada ištrinkite atitinkamą [Peer] bloką iš wg0.conf. Atlikite abu. Tik vykdymo metu atliktas pašalinimas išlieka iki kito perkrovimo ar konfigūracijos įkėlimo, kai failas vėl įrašo raktą.

Esamoms sesijoms nereikia laikmačio, kad mirtų. Pašalinus porininką atmetamas jo rankos paspaudimas ir rakto medžiaga, todėl srautas sustoja, kai tik vėl prireikia galiojančios raktų poros. Patikrinkite wg show wg0 latest-handshakes serveryje: pamesto rakto įrašas turėtų išnykti ir likti išnykęs, o kiti porininkai toliau praneša apie naujus epochus.

Vienas įspėjimas svarbesnis, nei atrodo. Jei pamestas įrenginys dalijosi raktu su kitais įrenginiais, nes kažkas nukopijavo vieną konfigūracijos failą, to rakto pašalinimas atjungia juos visus; tai vis tiek teisingas žingsnis, ir vėliau išduodate raktus kiekvienam įrenginiui atskirai, o ne atkuriate bendrą.

Sertifikatai: CRL galioja tik jei demonas ją skaito

Sertifikatais pagrįsta prieiga prideda žingsnį, kurį žmonės praleidžia. easyrsa revoke laptop-01 pažymi sertifikatą kaip atšauktą CA duomenų bazėje, bet VPN iš tos bazės nieko nesužino. Tada paleidžiate easyrsa gen-crl, kad įrašytumėte crl.pem, nukopijuojate jį į kelią, nurodytą serverio parinktyje crl-verify, ir patvirtinate, kad veikiantis demonas naudoja naują failą. Atšaukimas be CRL regeneravimo ir platinimo yra neveiksmingas.

Laikas yra antroji pusė. CRL tikrinama, kai klientas prisijungia arba iš naujo derasi, todėl sukurtas tunelis gali toliau persiųsti iki tol. Jei įrenginį reikia atjungti nedelsiant, užbaikite tą sesiją aiškiai per OpenVPN valdymo sąsają, o ne laukite kito rankos paspaudimo. Paslaugos įkėlimas ar perkrovimas, priklausomai nuo to, kaip diegimas įkelia CRL, yra pakeitimo dalis, o ne pasirenkamas priedas.

Patikrinimą verta atlikti iš kitos mašinos: pateikite atšauktą sertifikatą ir tikėkitės rankos paspaudimo nesėkmės, paprastai VERIFY ERROR: depth=0, error=certificate revoked. Jei ryšys vis tiek pavyksta, klientas skaito kitą CRL nei tą, kurią atnaujinote.

Paskyros ir sesijos: išjungimas nėra tas pats, kas išmetimas

Katalogo ar SSO prisijungimai tikrinami autentifikavimo metu. Paskyros išjungimas blokuoja kitą prisijungimą, bet atnaujinimo žetonas ir sukurtas tunelis gali veikti toliau, kol nebaigsis jų galiojimas. Atšaukite to naudotojo sesijas ir žetonus arba padidinkite sesijos versiją, jei tapatybės teikėjas tai palaiko. Pašalinkite pamestą įrenginį ir iš MFA registracijos, nes užregistruotas autentifikatorius yra savarankiškas prieigos kelias.

RADIUS pagrįsti VPN gali siųsti atsijungimo pranešimą arba autorizacijos pakeitimą, kad numestų aktyvią sesiją, bet ne kiekvienas tinklo prieigos serveris to laikosi. Jei abejojate, užbaikite naudotojo sesiją serverio pusėje ir patvirtinkite žurnaluose, kad senoji sesija buvo uždaryta.

Veiksmų tvarka kitai valandai

Pradėkite nuo inventorizacijos, o ne nuo kliento: išvardykite kiekvieną su įrenginiu susietą tapatybę, ar tai būtų porininko raktas, sertifikato serijos numeris ar paskyra. Atšaukite kiekvienoje išduodančioje sistemoje ta tvarka, kuria kuriamas ryšys, tai yra pirmiausia paskyra, paskui sertifikatas, paskui porininkas. Tada įrodykite atsisakymą iš mašinos, kurią kontroliuojate.

Du tolesni veiksmai lengvai pamirštami. Pirma, pakeiskite viską, ką įrenginys turėjo, ypač SSH raktus, debesijos konsolės kredencialus ir bendrą iš anksto bendrinamą WireGuard raktą. Antra, patikrinkite, ar konfigūracijos valdymas, momentinės kopijos ar auksiniai atvaizdai negali grąžinti pašalinto kliento per kitą pertvarkymą.

Ilgalaikis sprendimas yra viena tapatybė vienam įrenginiui. Kai kiekvienas nešiojamasis kompiuteris turi savo porininko raktą ar sertifikatą, netektis kainuoja vieną atšaukimo komandą ir pakartotinį išdavimą, o ne viso parko pertvarkymą.