Kif tirrevoka apparat VPN mitluf: ċavetta, ċertifikat jew kont

Il-laptop tiegħek telaq, u l-VPN għadu jelenkah bħala klijent. Il-mistoqsija urġenti mhix kif tħassar il-profil fuq magna li m'għandekx iżjed, iżda liema identità s-server għadu jaċċetta. WireGuard jispezzjona ċavetta pubblika, konfigurazzjoni OpenVPN bbażata fuq PKI tispezzjona ċertifikat tal-klijent, u VPN b'SSO jispezzjona kont u t-token tas-sessjoni tiegħu. Dawn it-tlieta jiġu revokati f'postijiet differenti u b'veloċitajiet differenti, u li tissewwa waħda waqt li tinjora l-oħrajn huwa l-mod kif apparat mitluf jibqa' konness.

Tliet identitajiet u x'tikkontrolla kull waħda

Kull mekkaniżmu jwieġeb mistoqsija differenti. Ċavetta pari twieġeb jekk din hix il-magna li rreġistrajt. Ċertifikat iwieġeb jekk ġiex iffirmat mill-CA tiegħek u jekk għadux irrevokat. Kont iwieġeb jekk din il-persuna awtentikatx reċentement biżżejjed. Implimentazzjoni li ssaffal tnejn minnhom, pereżempju ċertifikat flimkien ma' dħul fid-direttorju, tagħlaq il-bieb biss meta kull saff li ħareġ xi ħaġa lill-apparat jiġi mgħarraf biex jieqaf jaċċettaha.

Il-vleġġa prattika hija li l-magna nieqsa żżomm in-nofs privat ta' kull kredenzjali, għalhekk xejn ma tagħmel lokalment ma jasal għas-server.

WireGuard: neħħi l-pari, għax m'hemmx lista ta' revoka

WireGuard ma jżommx lista ta' projbizzjoni. L-interface jaċċetta eżattament iċ-ċwievet pubbliċi konfigurati bħala pari, għalhekk ir-revoka hija tħassir: ħaddem wg set wg0 peer <public-key> remove, il-forma dokumentata fi wg(8), imbagħad ħassar il-blokka [Peer] li taqbel minn wg0.conf. Agħmel it-tnejn. Tneħħija biss fil-ħin tal-eżekuzzjoni ddum sal-boot mill-ġdid jew it-tagħbija mill-ġdid tal-konfigurazzjoni li jmiss, meta l-fajl jerġa' jpoġġi ċ-ċavetta.

Is-sessjonijiet eżistenti m'għandhomx bżonn tajmer biex imutu. It-tneħħija tal-pari tarmi l-handshake u l-materjal taċ-ċavetta tiegħu, għalhekk it-traffiku jieqaf hekk kif terġa' tkun meħtieġa par ċwievet validu. Iċċekkja wg show wg0 latest-handshakes fuq is-server: id-dħul għaċ-ċavetta mitlufa għandu jisparixxi u jibqa' sparixxi, filwaqt li l-pari l-oħra jkomplu jirrappurtaw epoki riċenti.

Twissija waħda hija aktar importanti milli tidher. Jekk l-apparat mitluf qasam ċavetta ma' apparati oħra għax xi ħadd ikkopja fajl ta' konfigurazzjoni wieħed, it-tneħħija ta' dik iċ-ċavetta tiskonnettjahom kollha; xorta waħda huwa l-pass it-tajjeb, u wara toħroġ ċwievet għal kull apparat minflok ma tirrestawra dik kondiviża.

Ċertifikati: CRL tgħodd biss jekk id-daemon jaqraha

Aċċess ibbażat fuq iċ-ċertifikati jżid pass li n-nies jaqbżu. easyrsa revoke laptop-01 jimmarka ċ-ċertifikat bħala revokat fid-database tas-CA, iżda l-VPN ma jitgħallem xejn minn dik id-database. Imbagħad tħaddem easyrsa gen-crl biex tikteb crl.pem, tikkopjah għall-passaġġ imsemmi fl-għażla crl-verify tas-server u tikkonferma li d-daemon li qed jaħdem qed juża l-fajl il-ġdid. Ir-revoka mingħajr ma terġa' tiġġenera u tqassam is-CRL ma tagħmel xejn.

Il-ħin huwa nofs l-oħra. CRL tiġi kkonsultata meta klijent jikkonnettja jew jerġa' jinnegozja, għalhekk tunnel stabbilit jista' jkompli jgħaddi sa dakinhar. Jekk l-apparat irid jinqata' minnufih, temm dik is-sessjoni b'mod espliċitu permezz tal-interface tal-immaniġġjar ta' OpenVPN minflok tistenna l-handshake li jmiss. Ir-rikarika jew ir-riavvjament tas-servizz, skont kif l-implimentazzjoni tgħabbi s-CRL, hija parti mill-bidla u mhix żjieda fakultattiva.

Ta' min jagħmel il-verifika minn magna oħra: ippreżenta ċ-ċertifikat revokat u stenna falliment tal-handshake, tipikament VERIFY ERROR: depth=0, error=certificate revoked. Jekk il-konnessjoni xorta tirnexxi, il-klijent qed jaqra CRL differenti minn dik li aġġornajt.

Kontijiet u sessjonijiet: iddiżattivar mhuwiex l-istess bħal tkeċċi

Id-dħul fid-direttorju jew b'SSO jiġi spezzjonat fil-ħin tal-awtentikazzjoni. Id-diżattivar tal-kont jimblokka d-dħul li jmiss, iżda t-token tar-rinfreskar u t-tunnel stabbilit jistgħu jibqgħu jaħdmu sakemm jiskadu. Irrevoka s-sessjonijiet u t-tokens ta' dak l-utent, jew għolli verżjoni tas-sessjoni jekk il-fornitur tal-identità jappoġġjaha. Neħħi wkoll l-apparat mitluf mir-reġistrazzjoni tal-MFA, għax awtentikatur reġistrat huwa fih innifsu passaġġ ta' aċċess.

VPN bbażati fuq RADIUS jistgħu jibagħtu messaġġ ta' skonnessjoni jew bidla ta' awtorizzazzjoni biex iwaqqgħu sessjoni attiva, iżda mhux kull server ta' aċċess għan-netwerk jirrispettah. F'każ ta' dubju, temm is-sessjoni tal-utent mill-ġenb tas-server u kkonferma fil-logs li s-sessjoni l-qadima ngħalqet.

L-ordni tal-operazzjonijiet għas-siegħa li jmiss

Ibda mill-inventarju, mhux mill-klijent: elenka kull identità marbuta mal-apparat, tkun xi tkun ċavetta pari, numru tas-serje taċ-ċertifikat jew kont. Irrevoka f'kull sistema li toħroġ fl-ordni li biha tinbena l-konnessjoni, jiġifieri l-kont l-ewwel, imbagħad iċ-ċertifikat, imbagħad il-pari. Imbagħad ipprova rifjut minn magna li tikkontrolla.

Żewġ segwiti huma faċli li tinsiehom. L-ewwel, dawwar kull ħaġa oħra li kellu l-apparat, speċjalment ċwievet SSH, kredenzjali tal-console tal-cloud u ċavetta WireGuard kondiviża minn qabel. It-tieni, iċċekkja li l-immaniġġjar tal-konfigurazzjoni, is-snapshots jew l-immaġini tad-deheb ma jistgħux jerġgħu jdaħħlu l-klijent imneħħi fil-kostruzzjoni mill-ġdid li jmiss.

Is-soluzzjoni dejjiema hija identità waħda għal kull apparat. Meta kull laptop iġorr iċ-ċavetta pari jew iċ-ċertifikat tiegħu stess, telf jiswa ordni ta' revoka waħda u ħruġ mill-ġdid minflok kostruzzjoni mill-ġdid tal-flotta kollha.