Eén VPN-identiteit per apparaat: waarom delen het verwijderen breekt

Eén profiel dat naar een laptop, een telefoon en een tablet is gekopieerd, werkt prima tot een van hen zoekraakt. Op dat moment is de keuze elk apparaat dat de identiteit deelt te onderbreken of de ongewenste toegang te laten staan. Beide opties zijn slechter dan de tien minuten die het had gekost om drie identiteiten uit te geven. Het mechanisme is niet ingewikkeld: een VPN-peer is een autorisatierecord, en één record per apparaat is wat verwijderen tot één precieze handeling maakt.

Wat een gedeeld profiel deelt

Een privésleutel kopiëren kopieert de hele autorisatie: de peer-regel, het tunneladres en alle routes en beleidsregels die eraan hangen. De server kan de kopieën niet onderscheiden, omdat het protocol een peer aan de sleutel herkent en niet aan het apparaat. Elke logregel, elke limiet en elke intrekkingsbeslissing geldt voor de groep. Een gedeeld profiel is dus geen gemak met een kleine beveiligingskost, het is één enkel storingspunt met meerdere apparaten eraan.

Dezelfde logica geldt voor een gedeeld account met één certificaat.

Lever via het identiteitsmodel dat je hebt

Een WireGuard-implementatie kan afzonderlijke peersleutels autoriseren, één per apparaat. Een op certificaten gebaseerde implementatie kan individuele klantcertificaten uitgeven vanuit zijn eigen autoriteit. Een accountsysteem kan een gebruiker combineren met aparte apparaatrecords, afhankelijk van het product. Gebruik het door de operator ondersteunde registratieproces, want een nieuw lokaal geheim genereren doet niets tot de peer of de gateway de bijbehorende autorisatie herkent.

Het ondersteunde pad is ook het pad dat de volgende upgrade overleeft.

Inventaris zonder geheimen

Houd het apparaatlabel, de openbare identificatie en de eigenaar in een inventaris die je kunt doorzoeken. Kopieer geen privésleutels naar die inventaris, want dat maakt van een activalijst een opslagplaats voor inloggegevens.

Een regel die zegt “Laptop van Ana, openbare peersleutel, uitgegeven 12 maart” is genoeg om op te handelen.

Verwijderen is een procedure, geen knop

Leg vast hoe je precies één apparaat uitschakelt en of een actieve sessie een aparte beëindigingsstap nodig heeft. Controleer de persistentie, zodat een herstart of een oude configuratieback-up de autorisatie niet opnieuw binnenhaalt. Bevestig dat het verwijderen werkte door vanaf het verwijderde apparaat te proberen te verbinden. Controleer daarna of iets anders naar die identiteit verwees, zoals een monitoringssonde of een gedeelde route.

De stap die mensen overslaan is de laatste, en het is de enige die de wijziging bewijst.

Vervangingsvolgorde

Geef eerst het nieuwe apparaat uit, verifieer het tegen de bron die het nodig heeft en neem dan het oude uit dienst. De uitzondering is blootstelling: als het oude apparaat in andermans handen kan zijn, verwijder het dan eerst en accepteer de onderbreking.

Hoe dan ook, bekijk opgeslagen exports op de uit dienst genomen hardware voordat die het gebouw verlaat.

Wat aparte identiteiten je opleveren

Drie dingen, en elk ervan komt tijdens een incident naar voren:

• Eén apparaat intrekken zonder de andere aan te raken.
• Een verbinding aan een apparaat toeschrijven, niet aan een groep.
• Een storing uitleggen zonder ieders activiteit te verzamelen.

De richtlijnen van de operator zijn de autoriteit over zijn eigen leveringsmodel, of dat nu peersleutels zijn zoals in de WireGuard-snelstart of individuele certificaten van een lokale autoriteit. Aparte records zijn het verschil tussen een vloot waarover je kunt nadenken en een vloot die je alleen kunt resetten.