Éin VPN-identitet per eining: kvifor deling øydelegg fjerninga

Éin profil kopiert til ein berbar PC, ein telefon og eit nettbrett fungerer fint heilt til ein av dei blir borte. På det tidspunktet er valet å bryte kvar eining som deler identiteten, eller å la den uønska tilgangen stå. Begge alternativa er verre enn dei ti minutta det ville ha teke å utstede tre identitetar. Mekanismen er ikkje komplisert: ein VPN-peer er ein autorisasjonspost, og éin post per eining er det som gjer fjerninga til éi presis handling.

Kva ein delt profil deler

Å kopiere ein privat nøkkel kopierer heile autorisasjonen: peer-oppføringa, tunneladressa og alle ruter og policyar som er knytte til han. Tenaren kan ikkje skilje kopiane, fordi protokollen identifiserer ein peer etter nøkkel og ikkje etter eining. Kvar logglinje, kvar grense og kvar tilbakekallingsavgjerd gjeld for gruppa. Ein delt profil er difor ikkje eit gode med liten tryggingskostnad, han er eitt einskilt feilpunkt med fleire einingar knytte til seg.

Den same logikken gjeld for ein delt konto med eitt sertifikat.

Klargjer gjennom identitetsmodellen du har

Ei WireGuard-utrulling kan autorisere separate peer-nøklar, éin per eining. Ei sertifikatbasert utrulling kan utstede individuelle klient sertifikat frå sin eigen autoritet. Eit kontosystem kan kombinere ein brukar med separate einingsoppføringar, avhengig av produktet. Bruk den støtta registreringsprosessen til operatøren, fordi å generere ein ny lokal løyndom ikkje gjer noko før peeren eller gatewayen anerkjenner den tilsvarande autorisasjonen.

Den støtta vegen er også den som overlever neste oppgradering.

Oversikt utan løyndomar

Hald einingasetiketten, den offentlege identifikatoren og eigaren i ei oversikt du kan søkje i. Ikkje kopier private nøklar inn i den oversikta, fordi det gjer ei eigedelsliste om til eit lager for påloggingsinformasjon.

Ei rad som seier «Den berbare PC-en til Ana, offentleg peer-nøkkel, utstedt 12. mars» er nok å handle på.

Fjerning er ein prosedyre, ikkje ein knapp

Noter korleis du deaktiverer nøyaktig éi eining, og om ei aktiv økt treng eit eige avsluttingstrinn. Kontroller vedvaring, slik at ein omstart eller ein gammal konfigurasjonsbackup ikkje innfører autorisasjonen på nytt. Stadfest at fjerninga virka ved å prøve å kople til frå den fjerna eininga. Sjekk deretter om noko anna viste til den identiteten, som ein overvakingsprobe eller ei delt rute.

Trinnet folk hoppar over, er det siste, og det er det einaste som provar endringa.

Utskiftingsrekkjefølgje

Utsted den nye eininga først, verifiser ho mot ressursen ho treng, og pensjoner deretter den gamle. Unntaket er eksponering: viss den gamle eininga kan vere i andre sine hender, fjern ho først og godta avbrotet.

Uansett, gå gjennom lagra eksportar på den pensjonerte maskinvara før ho forlèt bygningen.

Kva separate identitetar gir deg

Tre ting, og kvar av dei viser seg under ei hending:

• Tilbakekalle éi eining utan å røre dei andre.
• Knyte ei tilkopling til ei eining, ikkje til ei gruppe.
• Forklare ein feil utan å samle inn aktiviteten til alle.

Rettleiinga til operatøren er autoriteten for hans eigen klargjeringsmodell, anten det er nøklar per peer som i WireGuard-hurtigstarten eller individuelle sertifikat frå ein lokal autoritet. Separate postar er skilnaden mellom ein flåte du kan resonnere om, og ein flåte du berre kan nullstille.