Én VPN-identitet per enhet: hvorfor deling bryter fjerningen

Én profil som er kopiert til en bærbar PC, en telefon og et nettbrett, fungerer fint helt til én av dem forsvinner. Da er valget å avbryte hver enhet som deler identiteten, eller å la den uønskede tilgangen stå åpen. Begge deler er verre enn de ti minuttene det ville ha tatt å utstede tre identiteter. Selve mekanismen er enkel: en VPN-peer er en autorisasjonspost, og én post per enhet er nettopp det som gjør fjerning til én presis handling.

Hva en delt profil deler

Kopierer du en privat nøkkel, kopierer du hele autorisasjonen: peer-oppføringen, tunneladressen og alle ruter og policyer som henger på den. Serveren klarer ikke å skille kopiene, siden protokollen identifiserer en peer etter nøkkel og ikke etter enhet. Hver logglinje, hver grense og hvert tilbakekallingsvedtak gjelder for hele gruppen. En delt profil er derfor ikke en bekvemmelighet med en liten sikkerhetskostnad, men ett eneste feilpunkt med flere enheter festet til seg.

Samme logikk gjelder en delt konto som bare har ett sertifikat.

Klargjør med identitetsmodellen du faktisk har

En WireGuard-installasjon kan autorisere atskilte peer-nøkler, én per enhet. En sertifikatbasert installasjon kan utstede individuelle klient sertifikater fra sin egen autoritet. Et kontosystem kan koble en bruker til separate enhetsoppføringer, avhengig av produktet. Bruk registreringsprosessen operatøren støtter, fordi det å lage en ny lokal hemmelighet ikke monner før peeren eller gatewayen godkjenner den tilsvarende autorisasjonen.

Den støttede veien er også den som tåler neste oppgradering.

Oversikt uten hemmeligheter

Ha enhetsetiketten, den offentlige identifikatoren og eieren i en oversikt du kan søke i. Ikke legg private nøkler inn i den oversikten, for da blir en eiendelsliste til et lager av påloggingsdata.

Det holder med en linje som «Anas bærbare PC, peerens offentlige nøkkel, utstedt 12. mars» for å kunne handle.

Fjerning er en prosedyre, ikke en knapp

Skriv ned hvordan du slår av nøyaktig én enhet, og om en aktiv økt krever et eget avslutningstrinn. Sjekk at endringen varer, slik at en omstart eller en gammel konfigurasjonsbackup ikke bringer autorisasjonen tilbake. Bekreft at fjerningen virket ved å forsøke å koble til fra den fjernede enheten. Se så etter om noe annet pekte på den identiteten, for eksempel en overvåkingsprobe eller en delt rute.

Trinnet folk hopper over, er det siste, og det er det eneste som beviser endringen.

Rekkefølge ved utskifting

Utsted det nye utstyret først, verifiser det mot ressursen det trenger, og pensjoner så det gamle. Unntaket er eksponering: kan den gamle enheten være i hendene på noen andre, fjerner du den først og godtar avbruddet.

Uansett bør du gå gjennom lagrede eksporter på maskinvaren som settes ut av drift, før den forlater bygget.

Hva atskilte identiteter gir deg

Tre ting, og alle dukker opp i en hendelse:

• Trekke tilbake én enhet uten å røre de andre.
• Knytte en tilkobling til en enhet, ikke til en gruppe.
• Forklare en feil uten å samle inn alles aktivitet.

Operatørens veiledning er autoriteten for deres egen klargjøringsmodell, enten det dreier seg om nøkler per peer som i WireGuard-hurtigstarten eller individuelle sertifikater fra en lokal autoritet. Atskilte oppføringer er forskjellen mellom en flåte du kan tenke gjennom og en flåte du bare kan nullstille.