Én VPN-identitet per enhet: hvorfor deling ødelegger fjerning

Én profil kopiert til en bærbar PC, en telefon og et nettbrett fungerer fint helt til en av dem blir borte. På det tidspunktet er valget å avbryte hver enhet som deler identiteten, eller å la den uønskede tilgangen bli stående. Begge alternativene er verre enn de ti minuttene det ville ha tatt å utstede tre identiteter. Mekanismen er ikke komplisert: en VPN-peer er en autorisasjonspost, og én post per enhet er det som gjør fjerning til én presis handling.

Hva en delt profil deler

Å kopiere en privat nøkkel kopierer hele autorisasjonen: peer-oppføringen, tunneladressen og alle ruter og policyer som er knyttet til den. Serveren kan ikke skille kopiene, fordi protokollen identifiserer en peer etter nøkkel og ikke etter enhet. Hver logglinje, hver grense og hver tilbakekallingsbeslutning gjelder for gruppen. En delt profil er derfor ikke en bekvemmelighet med liten sikkerhetskostnad, den er ett enkelt feilpunkt med flere enheter knyttet til seg.

Den samme logikken gjelder for en delt konto som har ett enkelt sertifikat.

Klargjør gjennom identitetsmodellen du har

En WireGuard-utrulling kan autorisere separate peer-nøkler, én per enhet. En sertifikatbasert utrulling kan utstede individuelle klient sertifikater fra sin egen autoritet. Et kontosystem kan kombinere en bruker med separate enhetsposter, avhengig av produktet. Bruk operatørens støttede registreringsprosess, fordi det å generere en ny lokal hemmelighet ikke gjør noe før peeren eller gatewayen anerkjenner den tilsvarende autorisasjonen.

Den støttede veien er også den som overlever neste oppgradering.

Oversikt uten hemmeligheter

Hold enhetsetiketten, den offentlige identifikatoren og eieren i en oversikt du kan søke i. Ikke kopier private nøkler inn i den oversikten, fordi det gjør en eiendelsliste om til et lager for påloggingsinformasjon.

En rad som sier «Anas bærbare PC, peerens offentlige nøkkel, utstedt 12. mars» er nok å handle på.

Fjerning er en prosedyre, ikke en knapp

Noter hvordan du deaktiverer nøyaktig én enhet, og om en aktiv økt trenger et eget avslutningstrinn. Kontroller vedvarenhet, slik at en omstart eller en gammel konfigurasjonsbackup ikke gjeninnfører autorisasjonen. Bekreft at fjerningen virket ved å prøve å koble til fra den fjernede enheten. Sjekk deretter om noe annet refererte til den identiteten, som en overvåkingsprobe eller en delt rute.

Trinnet folk hopper over, er det siste, og det er det eneste som beviser endringen.

Utskiftingsrekkefølge

Utsted den nye enheten først, verifiser den mot ressursen den trenger, og pensjoner deretter den gamle. Unntaket er eksponering: hvis den gamle enheten kan være i andres hender, fjern den først og godta avbruddet.

Uansett, gjennomgå lagrede eksporter på maskinvaren som er pensjonert, før den forlater bygningen.

Hva separate identiteter gir deg

Tre ting, og hver av dem viser seg under en hendelse:

• Tilbakekalle én enhet uten å røre de andre.
• Knytte en tilkobling til en enhet, ikke til en gruppe.
• Forklare en feil uten å samle inn alles aktivitet.

Operatørens veiledning er autoriteten for sin egen klargjøringsmodell, enten det er nøkler per peer som i WireGuard-hurtigstarten eller individuelle sertifikater fra en lokal autoritet. Separate poster er forskjellen mellom en flåte du kan resonnere om, og en flåte du bare kan nullstille.