Cara membatalkan peranti VPN yang hilang: kunci, sijil atau akaun

Komputer riba anda hilang, dan VPN masih menyenaraikannya sebagai klien. Soalan mendesak bukanlah cara memadam profil pada mesin yang tidak lagi anda miliki, tetapi identiti mana yang masih diterima pelayan. WireGuard memeriksa kunci awam, konfigurasi OpenVPN berasaskan PKI memeriksa sijil klien, dan VPN dengan SSO memeriksa akaun serta token sesinya. Ketiga-tiganya dibatalkan di tempat berbeza dan pada kelajuan berbeza, dan membaiki satu sambil mengabaikan yang lain ialah cara peranti yang hilang kekal bersambung.

Tiga identiti dan apa yang dikawal oleh setiap satu

Setiap mekanisme menjawab soalan yang berbeza. Kunci rakan menjawab sama ada ini mesin yang anda daftarkan. Sijil menjawab sama ada ia ditandatangani oleh CA anda dan belum dibatalkan. Akaun menjawab sama ada orang ini mengesahkan identiti baru-baru ini secukupnya. Pelaksanaan yang melapisi dua daripadanya, contohnya sijil tambah log masuk direktori, hanya menutup pintu apabila setiap lapisan yang mengeluarkan sesuatu kepada peranti telah diberitahu supaya berhenti menerimanya.

Perangkap praktikalnya ialah mesin yang hilang menyimpan separuh peribadi setiap kelayakan, jadi tiada apa yang anda lakukan secara setempat sampai ke pelayan.

WireGuard: buang rakan, kerana tiada senarai pembatalan

WireGuard tidak menyimpan senarai larangan. Antara muka menerima tepat kunci awam yang dikonfigurasikan sebagai rakan, jadi pembatalan ialah pemadaman: jalankan wg set wg0 peer <public-key> remove, bentuk yang didokumenkan dalam wg(8), kemudian padam blok [Peer] yang sepadan daripada wg0.conf. Lakukan kedua-duanya. Pembuangan hanya semasa jalan kekal sehingga but semula atau muat semula konfigurasi seterusnya, apabila fail meletakkan kunci itu kembali.

Sesi sedia ada tidak memerlukan pemasa untuk mati. Membuang rakan menggugurkan jabat tangan dan bahan kuncinya, jadi trafik berhenti sebaik sahaja pasangan kunci yang sah diperlukan semula. Periksa wg show wg0 latest-handshakes pada pelayan: entri untuk kunci yang hilang sepatutnya lenyap dan kekal lenyap, manakala rakan lain terus melaporkan zaman terkini.

Satu amaran lebih penting daripada yang kelihatan. Jika peranti yang hilang berkongsi kunci dengan peranti lain kerana seseorang menyalin satu fail konfigurasi, membuang kunci itu memutuskan semuanya; itu masih langkah yang betul, dan anda mengeluarkan semula kunci bagi setiap peranti selepas itu dan bukannya memulihkan kunci kongsi.

Sijil: CRL hanya dikira jika daemon membacanya

Akses berasaskan sijil menambah satu langkah yang orang langkau. easyrsa revoke laptop-01 menandakan sijil sebagai dibatalkan dalam pangkalan data CA, tetapi VPN tidak mempelajari apa-apa daripada pangkalan data itu. Anda kemudian menjalankan easyrsa gen-crl untuk menulis crl.pem, menyalinnya ke laluan yang dinamakan dalam pilihan crl-verify pelayan, dan mengesahkan daemon yang berjalan menggunakan fail baharu. Membatalkan tanpa menjana semula dan mengedarkan CRL tidak memberi kesan.

Masa ialah separuh kedua. CRL dirujuk apabila klien bersambung atau berunding semula, jadi terowong yang telah terbentuk boleh terus memajukan sehingga itu. Jika peranti mesti diputuskan serta-merta, tamatkan sesi itu secara jelas melalui antara muka pengurusan OpenVPN dan bukannya menunggu jabat tangan seterusnya. Memuat semula atau memulakan semula perkhidmatan, bergantung pada cara pelaksanaan memuatkan CRL, ialah sebahagian daripada perubahan dan bukan tambahan pilihan.

Pengesahan wajar dilakukan dari mesin lain: kemukakan sijil yang telah dibatalkan dan jangkakan kegagalan jabat tangan, biasanya VERIFY ERROR: depth=0, error=certificate revoked. Jika sambungan masih berjaya, klien membaca CRL yang berbeza daripada yang anda kemas kini.

Akaun dan sesi: menyahaktifkan bukan sama dengan mengusir

Log masuk direktori atau SSO diperiksa pada masa pengesahan. Menyahaktifkan akaun menyekat log masuk seterusnya, tetapi token penyegaran dan terowong yang telah terbentuk mungkin terus berfungsi sehingga luput. Batalkan sesi dan token pengguna itu, atau naikkan versi sesi jika penyedia identiti menyokongnya. Buang juga peranti yang hilang daripada pendaftaran MFA, kerana pengesah yang berdaftar ialah laluan akses tersendiri.

VPN berasaskan RADIUS boleh menghantar mesej putus atau perubahan kebenaran untuk menjatuhkan sesi aktif, tetapi bukan setiap pelayan akses rangkaian mematuhinya. Jika ragu-ragu, tamatkan sesi pengguna dari pihak pelayan dan sahkan dalam log bahawa sesi lama telah ditutup.

Urutan operasi untuk sejam akan datang

Mulakan dengan inventori, bukan klien: senaraikan setiap identiti yang terikat pada peranti, sama ada kunci rakan, nombor siri sijil atau akaun. Batalkan pada setiap sistem pengeluar mengikut urutan sambungan dibina, iaitu akaun dahulu, kemudian sijil, kemudian rakan. Kemudian buktikan penolakan itu dari mesin yang anda kawal.

Dua tindakan susulan mudah dilupakan. Pertama, putar apa-apa lagi yang dipegang peranti, terutamanya kunci SSH, kelayakan konsol awan dan kunci pra-kongsi WireGuard. Kedua, periksa bahawa pengurusan konfigurasi, syot kilat atau imej emas tidak boleh memasukkan semula klien yang dibuang pada pembinaan semula seterusnya.

Penyelesaian tahan lama ialah satu identiti bagi setiap peranti. Apabila setiap komputer riba membawa kunci rakan atau sijilnya sendiri, kehilangan hanya memerlukan satu perintah pembatalan dan satu pengeluaran semula, bukan pembinaan semula seluruh armada.