Korleis kalla attende ein tapt VPN-eining: nøkkel, sertifikat eller konto

Den berbare maskina di er borte, og VPN-en fører henne framleis opp som klient. Det presserande spørsmålet er ikkje korleis du slettar profilen på ei maskin du ikkje lenger har, men kva identitet serveren framleis godtek. WireGuard kontrollerer ein offentleg nøkkel, eit PKI-basert OpenVPN oppsett kontrollerer eit klientsertifikat, og ein VPN med SSO kontrollerer ein konto og økttokenet hans. Desse tre blir kalla attende på ulike stader og med ulik fart, og å rette éin medan ein overser dei andre er måten ei tapt eining blir verande tilkopla på.

Tre identitetar og kva kvar av dei styrer

Kvar mekanisme svarar på eit anna spørsmål. Ein peer-nøkkel svarar på om dette er maskina du registrerte. Eit sertifikat svarar på om det vart signert av CA-en din og ikkje er kalla attende. Ein konto svarar på om denne personen autentiserte seg nyleg nok. Ei utrulling som legg to av dei oppå kvarandre, til dømes sertifikat pluss kataloginnlogging, lukkar døra berre når kvart lag som gav eininga noko har fått beskjed om å slutte å godta det.

Den praktiske fella er at den manglande maskina held den private halvdelen av kvar legitimasjon, så ingenting du gjer lokalt når serveren.

WireGuard: fjern peeren, fordi det finst inga attkallingsliste

WireGuard fører inga blokkeringsliste. Grensesnittet godtek nøyaktig dei offentlege nøklane som er sette opp som peers, så attkalling er sletting: køyr wg set wg0 peer <public-key> remove, forma som er dokumentert i wg(8), og slett deretter den samsvarande [Peer]-blokka frå wg0.conf. Gjer begge delar. Ei fjerning berre i køyretid overlever til neste omstart eller konfigurasjonsinnlasting, då fila set nøkkelen tilbake.

Eksisterande økter treng ingen timer for å døy. Fjerning av peeren slepp handtrykket og nøkkelmaterialet, så trafikken stoggar så snart eit gyldig nøkkelpar krevst igjen. Sjekk wg show wg0 latest-handshakes på serveren: oppføringa for den tapte nøkkelen skal forsvinne og bli borte, medan dei andre peerane held fram med å rapportere nylege epokar.

Eitt atterhald tyder meir enn det ser ut som. Viss den tapte eininga delte ein nøkkel med andre einingar fordi nokon kopierte éi konfigurasjonsfil, koplar fjerninga av den nøkkelen dei alle frå; det er framleis rett trekk, og du gjev deretter ut nøklar per eining i staden for å gjenopprette den delte.

Sertifikat: ein CRL tel berre viss daemonen les han

Sertifikatbasert tilgang legg til eit steg folk hoppar over. easyrsa revoke laptop-01 merkjer sertifikatet som attkalla i CA-databasen, men VPN-en lærer ingenting frå den databasen. Deretter køyrer du easyrsa gen-crl for å skrive crl.pem, kopierer det til stien som er nemnd i crl-verify-valet til serveren, og stadfestar at den køyrande daemonen brukar den nye fila. Å kalle attende utan å generere og distribuere CRL-en på nytt er verknadslaus.

Timing er den andre halvdelen. Ein CRL blir konsultert når ein klient koplar til eller reforhandlar, så ein etablert tunnel kan halde fram med å vidaresende til då. Viss eininga må skjerast av med ein gong, avslutt den økta eksplisitt via administrasjonsgrensesnittet til OpenVPN i staden for å vente på neste handtrykk. Å laste inn eller starte tenesta på nytt, avhengig av korleis utrullinga lastar CRL-en, er ein del av endringa og ikkje eit valfritt tillegg.

Det er verdt å gjere verifiseringa frå ei anna maskin: presenter det attkalla sertifikatet og vent eit handtrykksfeil, vanlegvis VERIFY ERROR: depth=0, error=certificate revoked. Viss tilkoplinga framleis lukkast, les klienten ein annan CRL enn den du oppdaterte.

Kontoar og økter: deaktivering er ikkje det same som utkasting

Katalog- eller SSO-innloggingar blir kontrollerte på autentiseringstidspunktet. Deaktivering av kontoen blokkerer neste innlogging, men oppfriskningstokenet og den etablerte tunnelen kan halde fram med å verke til dei går ut. Kall attende øktene og tokena til den brukaren, eller auk ein øktversjon viss identitetsleverandøren støttar det. Fjern også den tapte eininga frå MFA-registreringa, sidan ein registrert autentiseringsapp er ein eigen tilgangsveg.

RADIUS-baserte VPN-ar kan sende ei fråkoplingmelding eller ei autorisasjonsendring for å droppe ei aktiv økt, men ikkje alle nettverkstilgangsserverar respekterer det. I tvil, avslutt økta til brukaren frå serversida og stadfest i loggane at den gamle økta vart lukka.

Rekkjefølgje for den neste timen

Start med inventaret, ikkje klienten: list opp kvar identitet knytt til eininga, anten det er peer-nøkkel, sertifikatserienummer eller konto. Kall attende i kvart utferdande system i den rekkjefølgja tilkoplinga blir bygd, altså konto først, deretter sertifikat, deretter peer. Bevis så avvisinga frå ei maskin du kontrollerer.

To oppfølgingar er lette å gløyme. For det første, roter alt anna eininga hadde, særleg SSH-nøklar, skykonsoll-legitimasjon og ein delt førehandsdelt WireGuard-nøkkel. For det andre, kontroller at konfigurasjonsstyring, augneblinksbilete eller gullavbildingar ikkje kan føre inn den fjerna klienten ved neste gjenoppbygging.

Den varige løysinga er éin identitet per eining. Når kvar berbare maskin ber sin eigen peer-nøkkel eller sitt eige sertifikat, kostar eit tap éin attkallingskommando og ei nyutgjeving i staden for ein gjenoppbygging av heile flåten.