Viena VPN identitāte vienai ierīcei: kāpēc koplietošana salauž noņemšanu

Viens profils, kas nokopēts uz klēpjdatoru, tālruni un planšetdatoru, darbojas labi, līdz viena no tām pazūd. Tajā brīdī izvēle ir pārtraukt katru ierīci, kas koplieto identitāti, vai atstāt nevēlamo piekļuvi vietā. Abas iespējas ir sliktākas par tām desmit minūtēm, kas būtu vajadzīgas trīs identitāšu izsniegšanai. Mehānisms nav sarežģīts: VPN partneris ir autorizācijas ieraksts, un viens ieraksts katrai ierīcei ir tas, kas noņemšanu pārvērš vienā precīzā darbībā.

Ko koplieto koplietotais profils

Privātās atslēgas kopēšana kopē visu autorizāciju: partnera ierakstu, tuneļa adresi un visus ar to saistītos maršrutus un politikas. Serveris nevar atšķirt kopijas, jo protokols partneri atpazīst pēc atslēgas, nevis pēc ierīces. Katra žurnāla rinda, katrs limits un katrs atsaukšanas lēmums attiecas uz grupu. Tāpēc koplietots profils nav ērtība ar nelielām drošības izmaksām, tas ir viens vienīgs kļūmes punkts, kuram pievienotas vairākas ierīces.

Tā pati loģika attiecas uz koplietotu kontu ar vienu sertifikātu.

Nodrošiniet ar esošo identitātes modeli

WireGuard izvietojums var autorizēt atsevišķas partnera atslēgas, vienu katrai ierīcei. Sertifikātos balstīts izvietojums var izsniegt atsevišķus klienta sertifikātus no savas iestādes. Kontu sistēma var apvienot lietotāju ar atsevišķiem ierīces ierakstiem, atkarībā no produkta. Izmantojiet operatora atbalstīto reģistrācijas procesu, jo jauna vietējā noslēpuma ģenerēšana neko nedara, kamēr partneris vai vārteja neatzīst atbilstošo autorizāciju.

Atbalstītais ceļš ir arī tas, kas pārdzīvo nākamo atjauninājumu.

Saraksts bez noslēpumiem

Glabājiet ierīces apzīmējumu, publisko identifikatoru un īpašnieku meklējamā sarakstā. Nekopējiet privātās atslēgas šajā sarakstā, jo tas aktīvu sarakstu pārvērš akreditācijas datu krātuvē.

Rinda „Anas klēpjdators, partnera publiskā atslēga, izsniegta 12. martā“ ir pietiekama, lai rīkotos.

Noņemšana ir procedūra, nevis poga

Pierakstiet, kā atspējot tieši vienu ierīci un vai aktīvai sesijai vajadzīgs atsevišķs pārtraukšanas solis. Pārbaudiet noturību, lai restartēšana vai veca konfigurācijas dublējums neatgrieztu autorizāciju. Apstipriniet, ka noņemšana iedarbojās, mēģinot savienoties no noņemtās ierīces. Pēc tam pārbaudiet, vai kaut kas cits atsaucās uz šo identitāti, piemēram, uzraudzības zonde vai koplietots maršruts.

Solis, ko cilvēki izlaiž, ir pēdējais, un tikai tas pierāda izmaiņas.

Aizvietošanas secība

Vispirms izsniedziet jauno ierīci, pārbaudiet to pret nepieciešamo resursu, tad izņemiet no ekspluatācijas veco. Izņēmums ir pakļautība: ja vecā ierīce var būt citu rokās, vispirms to noņemiet un pieņemiet pārtraukumu.

Jebkurā gadījumā pārskatiet saglabātos eksportus izņemtajā aparatūrā, pirms tā atstāj ēku.

Ko dod atsevišķas identitātes

Trīs lietas, un katra no tām parādās incidenta laikā:

• Atsaukt vienu ierīci, neaiztiekot pārējās.
• Piedēvēt savienojumu ierīcei, nevis grupai.
• Izskaidrot kļūmi, nevācot visu aktivitāti.

Operatora norādes ir autoritāte attiecībā uz viņa paša nodrošināšanas modeli, vai tie būtu partnera atslēgas kā WireGuard ātrajā sākumā, vai atsevišķi sertifikāti no vietējās iestādes. Atsevišķi ieraksti ir atšķirība starp floti, par ko var domāt, un floti, ko var tikai atiestatīt.