Kā atsaukt pazaudētu VPN ierīci: atslēga, sertifikāts vai konts

Jūsu klēpjdators ir pazudis, un VPN joprojām uzrāda to kā klientu. Steidzamais jautājums nav, kā dzēst profilu mašīnā, kas jums vairs nav, bet gan kuru identitāti serveris vēl pieņem. WireGuard pārbauda publisko atslēgu, PKI balstīta OpenVPN konfigurācija pārbauda klienta sertifikātu, un VPN ar SSO pārbauda kontu un tā sesijas žetonu. Šīs trīs tiek atsauktas dažādās vietās un ar dažādu ātrumu, un vienas salabošana, ignorējot pārējās, ir veids, kā pazaudēta ierīce paliek savienota.

Trīs identitātes un ko katra no tām kontrolē

Katrs mehānisms atbild uz citu jautājumu. Pāra atslēga atbild, vai šī ir tā mašīna, kuru jūs reģistrējāt. Sertifikāts atbild, vai to parakstīja jūsu CA un vai tas nav atsaukts. Konts atbild, vai šī persona ir autentificējusies pietiekami nesen. Izvietojums, kas slāņo divus no tiem, piemēram, sertifikāts un kataloga pieteikšanās, aizver durvis tikai tad, kad katram slānim, kas ierīcei kaut ko izdeva, ir pateikts pārtraukt to pieņemt.

Praktiskās lamatas ir tādas, ka trūkstošā mašīna glabā katra akreditācijas datu privāto pusi, tāpēc nekas, ko darāt lokāli, nesasniedz serveri.

WireGuard: noņemiet pāri, jo atsaukšanas saraksta nav

WireGuard neuztur nekādu aizlieguma sarakstu. Saskarne pieņem tieši tos publiskos atslēgas, kas konfigurēti kā pāri, tāpēc atsaukšana ir dzēšana: palaidiet wg set wg0 peer <public-key> remove, formu, kas dokumentēta wg(8), pēc tam izdzēsiet atbilstošo [Peer] bloku no wg0.conf. Dariet abus. Noņemšana tikai izpildes laikā saglabājas līdz nākamajai pārstartēšanai vai konfigurācijas pārlādei, kad fails atslēgu ieliek atpakaļ.

Esošajām sesijām nav vajadzīgs taimeris, lai nomirtu. Pāra noņemšana atmet tā rokasspiedienu un atslēgas materiālu, tāpēc trafiks apstājas, tiklīdz atkal ir vajadzīgs derīgs atslēgu pāris. Pārbaudiet wg show wg0 latest-handshakes serverī: pazaudētās atslēgas ierakstam vajadzētu pazust un palikt pazudušam, kamēr citi pāri turpina ziņot par nesenām epohām.

Viens brīdinājums ir svarīgāks, nekā izskatās. Ja pazaudētā ierīce dalīja atslēgu ar citām ierīcēm tāpēc, ka kāds nokopēja vienu konfigurācijas failu, šīs atslēgas noņemšana atvieno tās visas; tas joprojām ir pareizais solis, un pēc tam jūs izsniedzat atslēgas katrai ierīcei atsevišķi, nevis atjaunojat kopīgo.

Sertifikāti: CRL skaitās tikai tad, ja dēmons to lasa

Sertifikātos balstīta piekļuve pievieno soli, ko cilvēki izlaiž. easyrsa revoke laptop-01 atzīmē sertifikātu kā atsauktu CA datubāzē, bet VPN no šīs datubāzes neko neuzzina. Pēc tam jūs palaidat easyrsa gen-crl, lai ierakstītu crl.pem, nokopējiet to uz ceļu, kas norādīts servera opcijā crl-verify, un apstipriniet, ka darbojošais dēmons izmanto jauno failu. Atsaukšana bez CRL atkārtotas ģenerēšanas un izplatīšanas ir bez efekta.

Laiks ir otrā puse. CRL tiek konsultēts, kad klients pieslēdzas vai pārrunā no jauna, tāpēc izveidots tunelis var turpināt pārsūtīšanu līdz tam. Ja ierīce ir jāatvieno nekavējoties, pārtrauciet šo sesiju skaidri caur OpenVPN pārvaldības saskarni, nevis gaidiet nākamo rokasspiedienu. Pakalpojuma pārlāde vai pārstartēšana atkarībā no tā, kā izvietojums ielādē CRL, ir izmaiņu daļa, nevis neobligāts papildinājums.

Pārbaudi ir vērts veikt no citas mašīnas: uzrādiet atsaukto sertifikātu un gaidiet rokasspiediena neveiksmi, parasti VERIFY ERROR: depth=0, error=certificate revoked. Ja savienojums tomēr izdodas, klients lasa citu CRL nekā to, kuru jūs atjauninājāt.

Konti un sesijas: atspējošana nav tas pats, kas izmešana

Kataloga vai SSO pieteikšanās tiek pārbaudītas autentifikācijas laikā. Konta atspējošana bloķē nākamo pieteikšanos, bet atjaunināšanas žetons un izveidotais tunelis var turpināt darboties, līdz tie beidzas. Atsauciet šī lietotāja sesijas un žetonus vai paaugstiniet sesijas versiju, ja identitātes nodrošinātājs to atbalsta. Noņemiet pazaudēto ierīci arī no MFA reģistrācijas, jo reģistrēts autentifikators pats par sevi ir piekļuves ceļš.

RADIUS balstīti VPN var nosūtīt atvienošanas ziņojumu vai autorizācijas maiņu, lai nomestu aktīvu sesiju, bet ne katrs tīkla piekļuves serveris to ievēro. Ja rodas šaubas, pārtrauciet lietotāja sesiju servera pusē un apstipriniet žurnālos, ka vecā sesija tika aizvērta.

Darbību secība nākamajai stundai

Sāciet ar inventarizāciju, nevis ar klientu: uzskaitiet katru ar ierīci saistīto identitāti, vai tā būtu pāra atslēga, sertifikāta sērijas numurs vai konts. Atsauciet katrā izdevējsistēmā tādā secībā, kādā tiek veidots savienojums, tas ir, vispirms konts, pēc tam sertifikāts, pēc tam pāris. Pēc tam pierādiet atteikumu no mašīnas, kuru kontrolējat.

Divi turpmākie soļi ir viegli aizmirstami. Pirmkārt, mainiet visu citu, kas ierīcei bija, jo īpaši SSH atslēgas, mākoņa konsoles akreditācijas datus un kopīgu iepriekš koplietotu WireGuard atslēgu. Otrkārt, pārbaudiet, vai konfigurācijas pārvaldība, momentuzņēmumi vai zelta attēli nevar atgriezt noņemto klientu nākamajā pārbūvē.

Ilgtspējīgais risinājums ir viena identitāte katrai ierīcei. Kad katrs klēpjdators nēsā savu pāra atslēgu vai sertifikātu, zudums izmaksā vienu atsaukšanas komandu un vienu atkārtotu izsniegšanu, nevis visas flotes pārbūvi.