Како да отповикате изгубен VPN уред: клуч, сертификат или сметка

Вашиот лаптоп исчезна, а VPN се уште го наведува како клиент. Итното прашање не е како да го избришете профилот на машина што повеќе не ја имате, туку кој идентитет серверот се уште го прифаќа. WireGuard проверува јавен клуч, поставка OpenVPN заснована на PKI проверува клиентски сертификат, а VPN со едно најавување проверува сметка и нејзиниот токен за сесија. Овие три се отповикуваат на различни места и со различна брзина, а поправањето на едното додека се игнорираат другите е начинот на кој изгубениот уред останува поврзан.

Три идентитети и што контролира секоја од нив

Секој механизам одговара на различно прашање. Клучот на партнер одговара дали ова е машината што сте ја регистрирале. Сертификатот одговара дали го потпишал вашиот CA и дали не е отповикан. Сметката одговара дали оваа личност се автентицирала доволно неодамна. Распоредувањето што слојува две од нив, на пример сертификат плус најава на директориум, ја затвора вратата само кога на секој слој што му издал нешто на уредот му е кажано да престане да го прифаќа.

Практичната стапица е што машината што недостига ја држи приватната половина од секоја акредитива, па ништо што ќе направите локално не стигнува до серверот.

WireGuard: отстранете го партнерот, бидејќи нема список за отповикување

WireGuard не води список за забрана. Интерфејсот прифаќа точно оние јавни клучеви што се конфигурирани како партнери, па отповикувањето е бришење: извршете wg set wg0 peer <public-key> remove, формата документирана во wg(8), потоа избришете го соодветниот блок [Peer] од wg0.conf. Направете и двете. Отстранување само за време на извршување останува до следното рестартирање или вчитување на конфигурацијата, кога датотеката го враќа клучот.

Постојните сесии не бараат тајмер за да умрат. Отстранувањето на партнерот го отфрла неговото ракување и клучниот материјал, па сообраќајот запира штом повторно се побара валиден пар клучеви. Проверете wg show wg0 latest-handshakes на серверот: записот за изгубениот клуч треба да исчезне и да остане исчезнат, додека другите партнери продолжуваат да пријавуваат неодамнешни епохи.

Едно предупредување е поважно отколку што изгледа. Ако изгубениот уред делел клуч со други уреди затоа што некој копирал една конфигурациска датотека, отстранувањето на тој клуч ги исклучува сите; тоа е се уште правилниот чекор, и потоа издавате клучеви по уред наместо да го враќате заедничкиот.

Сертификати: CRL се смета само ако демонот го чита

Пристапот заснован на сертификати додава чекор што луѓето го прескокнуваат. easyrsa revoke laptop-01 го означува сертификатот како отповикан во базата на CA, но VPN не учи ништо од таа база. Потоа извршувате easyrsa gen-crl за да напишете crl.pem, го копирате на патеката наведена во опцијата crl-verify на серверот и потврдувате дека демонот што работи ја користи новата датотека. Отповикување без повторно генерирање и дистрибуција на CRL е без ефект.

Времето е втората половина. CRL се проверува кога клиент се поврзува или преговара повторно, па воспоставен тунел може да продолжи да пренесува до тогаш. Ако уредот мора веднаш да се отсече, завршете ја таа сесија експлицитно преку интерфејсот за управување на OpenVPN наместо да го чекате следното ракување. Вчитувањето или рестартирањето на услугата, зависно од тоа како распоредувањето го вчитува CRL, е дел од промената, а не опционален додаток.

Вреди да се провери од друга машина: претставете го отповиканиот сертификат и очекувајте неуспех на ракувањето, обично VERIFY ERROR: depth=0, error=certificate revoked. Ако врската се уште успева, клиентот чита друг CRL од оној што сте го ажурирале.

Сметки и сесии: деактивирањето не е исто како исфрлање

Најавите преку директориум или SSO се проверуваат во моментот на автентикација. Деактивирањето на сметката ја блокира следната најава, но токенот за освежување и воспоставениот тунел може да продолжат да работат додека не истечат. Отповикајте ги сесиите и токените на тој корисник или зголемете ја верзијата на сесијата ако добавувачот на идентитет го поддржува тоа. Отстранете го изгубениот уред и од регистрацијата за MFA, бидејќи регистриран автентикатор е сам по себе пат за пристап.

VPN засновани на RADIUS можат да испратат порака за исклучување или промена на авторизација за да исфрлат активна сесија, но не секој сервер за пристап до мрежа го почитува тоа. Кога сте во сомнеж, завршете ја сесијата на корисникот од страната на серверот и потврдете во дневниците дека старата сесија е затворена.

Редослед на дејства за следниот час

Започнете од пописот, не од клиентот: наведете го секој идентитет поврзан со уредот, било да е клуч на партнер, сериски број на сертификат или сметка. Отповикајте во секој систем што издава по редот во кој се гради врската, односно прво сметката, потоа сертификатот, потоа партнерот. Потоа докажете го одбивањето од машина што ја контролирате.

Две последователни дејства лесно се забораваат. Прво, ротирајте се друго што уредот го имал, особено SSH клучеви, акредитиви за облачна конзола и заеднички однапред споделен WireGuard клуч. Второ, проверете дали управувањето со конфигурација, сликите од состојба или златните слики не можат да го вратат отстранетиот клиент при следното повторно градење.

Трајното решение е еден идентитет по уред. Кога секој лаптоп носи свој клуч на партнер или сертификат, загубата чини една наредба за отповикување и едно повторно издавање, наместо повторно градење на целата флота.