Алдсан VPN төхөөрөмжийг хүчингүй болгох: түлхүүр, гэрчилгээ эсвэл бүртгэл

Таны зөөврийн компьютер алга болсон ч VPN үүнийг клиент хэвээр жагсааж байна. Яаралтай асуулт нь таны гарт байхгүй машинд профайлыг хэрхэн устгах биш, харин сервер аль таних тэмдгийг хүлээн авч байгаа явдал юм. WireGuard нээлттэй түлхүүр шалгадаг, PKI-д суурилсан OpenVPN тохиргоо клиентийн гэрчилгээг шалгадаг, SSO бүхий VPN нь бүртгэл ба түүний сессийн токеныг шалгадаг. Эдгээр гурвыг өөр өөр газар, өөр хурдаар хүчингүй болгодог бөгөөд нэгийг нь засаад бусдыг нь үл тоомсорлох нь алдсан төхөөрөмжийг холбогдсон хэвээр байлгах арга юм.

Гурван таних тэмдэг ба тус бүр юуг хянадаг

Механизм бүр өөр асуултад хариулдаг. Хос түлхүүр нь энэ таны бүртгүүлсэн машин мөн эсэхийг хариулдаг. Гэрчилгээ нь таны CA гарын үсэг зурсан бөгөөд хүчингүй болоогүй эсэхийг хариулдаг. Бүртгэл нь энэ хүн хангалттай саяхан нэвтрүүлэлт хийсэн эсэхийг хариулдаг. Хоёрыг нь давхарласан байршуулалт, жишээлбэл гэрчилгээ болон лавлах нэвтрэлт, төхөөрөмжид ямар нэгэн зүйл олгосон давхарга бүрд түүнийг хүлээж авахаа болихыг хэлсэн үед л хаалгыг хаадаг.

Практик урхи нь алга болсон машин бүр итгэмжлэлийн хувийн хагасыг хадгалдаг тул таны локалд хийсэн юу ч серверт хүрэхгүй.

WireGuard: хосыг устга, учир нь хүчингүй болгох жагсаалт байхгүй

WireGuard ямар ч хориглох жагсаалт хөтөлдөггүй. Интерфейс нь хосоор тохируулсан нээлттэй түлхүүрүүдийг яг хүлээж авдаг тул хүчингүй болгох гэдэг нь устгах: wg set wg0 peer <public-key> remove ажиллуулна, энэ нь wg(8)-д баримтлагдсан хэлбэр, дараа нь wg0.conf -с тохирох [Peer] блокийг устгана. Хоёуланг нь хийнэ. Зөвхөн ажиллах үед хийсэн устгал нь дараагийн дахин ачаалах эсвэл тохиргоог дахин ачаалах хүртэл үргэлжилж, тэр үед файл түлхүүрийг буцааж тавьдаг.

Одоо байгаа сессүүд үхэхэд таймер шаарддаггүй. Хосыг устгах нь түүний гар барилт болон түлхүүрийн материалыг хаядаг тул хүчинтэй түлхүүрийн хос дахин шаардагдах үед трафик зогсдог. Сервер дээр wg show wg0 latest-handshakes шалгана уу: алдсан түлхүүрийн бичлэг алга болж, алга болсон хэвээр үлдэх ёстой, бусад хосууд саяхны эрин үеийг мэдээлсээр байх болно.

Нэг анхааруулга харагдахаас илүү чухал. Хэрэв алдсан төхөөрөмж хэн нэгэн нэг тохиргооны файлыг хуулснаас бусад төхөөрөмжтэй түлхүүр хуваалцсан бол тэр түлхүүрийг устгах нь бүгдийг нь салгана; энэ нь зөв алхам хэвээр бөгөөд дараа нь хуваалцсан түлхүүрийг сэргээхийн оронд төхөөрөмж бүрт тусдаа түлхүүр олгоно.

Гэрчилгээ: CRL нь демон үүнийг уншсан тохиолдолд л тооцогдоно

Гэрчилгээнд суурилсан хандалт хүмүүсийн алгасдаг нэг алхам нэмдэг. easyrsa revoke laptop-01 нь CA-ийн мэдээллийн санд гэрчилгээг хүчингүй гэж тэмдэглэдэг боловч VPN тэр сангаас юу ч сурдаггүй. Дараа нь та easyrsa gen-crl ажиллуулж crl.pem бичнэ, үүнийг серверийн crl-verify сонголтод заасан зам руу хуулж, ажиллаж буй демон шинэ файлыг ашиглаж байгааг батална. CRL-ийг дахин үүсгэх, түгээхгүйгээр хүчингүй болгох нь үр дүнгүй.

Цаг хугацаа нь хоёр дахь хагас. CRL-ийг клиент холбогдох эсвэл дахин хэлэлцэх үед шалгадаг тул тогтсон туннель тэр хүртэл дамжуулсаар байж болно. Хэрэв төхөөрөмжийг нэн даруй таслах шаардлагатай бол дараагийн гар барилтыг хүлээхийн оронд OpenVPN-ийн удирдлагын интерфейсээр дамжуулан тухайн сессийг тодорхой дуусгана. Үйлчилгээг дахин ачаалах эсвэл дахин эхлүүлэх нь байршуулалт CRL-ийг хэрхэн ачааллахаас хамаарч өөрчлөлтийн нэг хэсэг бөгөөд заавал биш нэмэлт биш юм.

Өөр машинаас шалгах нь зүйтэй: хүчингүй болсон гэрчилгээг үзүүлж, гар барилтын алдааг хүлээнэ, ихэвчлэн VERIFY ERROR: depth=0, error=certificate revoked. Хэрэв холболт амжилттай хэвээр байвал клиент таны шинэчилсэнээс өөр CRL уншиж байна.

Бүртгэл ба сесс: идэвхгүй болгох нь хөөхтэй ижил биш

Лавлах эсвэл SSO нэвтрэлтийг нэвтрүүлэлтийн үед шалгадаг. Бүртгэлийг идэвхгүй болгох нь дараагийн нэвтрэлтийг блоклодог боловч сэргээх токен болон тогтсон туннель хугацаа дуустал үргэлжлүүлэн ажиллаж болно. Тухайн хэрэглэгчийн сесс, токеныг хүчингүй болгох эсвэл таних тэмдгийн нийлүүлэгч дэмждэг бол сессийн хувилбарыг өсгөнө. Алдсан төхөөрөмжийг MFA-ийн бүртгэлээс ч хас, учир нь бүртгэлтэй нэвтрүүлэгч нь өөрөө нэвтрэх зам юм.

RADIUS-д суурилсан VPN-үүд идэвхтэй сессийг унагахын тулд салгах мессеж эсвэл зөвшөөрлийн өөрчлөлт илгээж болох ч сүлжээний хандалтын сервер бүр үүнийг дагадаггүй. Эргэлзвэл хэрэглэгчийн сессийг серверийн талаас дуусгаж, бүртгэлд хуучин сесс хаагдсаныг батал.

Дараагийн нэг цагийн үйл ажиллагааны дараалал

Клиентээс биш, бүртгэлээс эхэл: төхөөрөмжтэй холбоотой таних тэмдэг бүрийг, хос түлхүүр, гэрчилгээний серийн дугаар эсвэл бүртгэл байсан ч жагсаа. Холболт бүтээгдэх дарааллаар олгогч систем бүрт хүчингүй болго, өөрөөр хэлбэл эхлээд бүртгэл, дараа нь гэрчилгээ, дараа нь хос. Дараа нь өөрийн хянаж буй машинаас татгалзлыг батал.

Хоёр дагалдах үйлдлийг мартах амархан. Нэгд, төхөөрөмжид байсан бусад бүх зүйлийг соль, ялангуяа SSH түлхүүрүүд, үүлэн консолын итгэмжлэл, хуваалцсан WireGuard урьдчилан хуваалцсан түлхүүр. Хоёрт, тохиргооны менежмент, агшин зураг эсвэл алтан дүрсүүд дараагийн дахин бүтээхэд устгасан клиентийг буцааж оруулж чадахгүй эсэхийг шалга.

Бат бөх шийдэл нь төхөөрөмж бүрт нэг таних тэмдэг. Зөөврийн компьютер бүр өөрийн хос түлхүүр эсвэл гэрчилгээг авч явбал алдагдал нь бүх флотыг дахин бүтээхийн оронд нэг хүчингүй болгох команд, нэг дахин олголт болно.