Jedna tożsamość VPN na urządzenie: dlaczego udostępnianie psuje usuwanie

Jeden profil skopiowany na laptop, telefon i tablet działa dobrze, dopóki jedno z nich nie zginie. Wtedy wybór jest między przerwaniem każdego urządzenia dzielącego tożsamość a pozostawieniem niechcianego dostępu na miejscu. Obie opcje są gorsze od tych dziesięciu minut, których potrzebowałoby wydanie trzech tożsamości. Mechanizm nie jest skomplikowany: peer VPN to rekord autoryzacji, a jeden rekord na urządzenie to właśnie to, co zamienia usuwanie w jedną precyzyjną czynność.

Co udostępnia współdzielony profil

Skopiowanie klucza prywatnego kopiuje całą autoryzację: wpis peera, adres tunelu oraz wszystkie trasy i zasady, które są do niego przypisane. Serwer nie potrafi odróżnić kopii, bo protokół identyfikuje peera po kluczu, a nie po urządzeniu. Każdy wiersz logu, każdy limit i każda decyzja o unieważnieniu dotyczą grupy. Współdzielony profil nie jest więc wygodą za niewielką cenę bezpieczeństwa, lecz pojedynczym punktem awarii, do którego przypięto kilka urządzeń.

Ta sama logika dotyczy współdzielonego konta z jednym certyfikatem.

Zapewnij to w modelu tożsamości, który masz

Wdrożenie WireGuard może autoryzować osobne klucze peerów, po jednym na urządzenie. Wdrożenie oparte na certyfikatach może wydawać pojedyncze certyfikaty klienta z własnego urzędu. System kont może łączyć użytkownika z osobnymi rekordami urządzeń, zależnie od produktu. Użyj obsługiwanego przez operatora procesu rejestracji, bo wygenerowanie nowego lokalnego sekretu nic nie daje, dopóki peer lub brama nie rozpoznają odpowiedniej autoryzacji.

Obsługiwana ścieżka to także ta, która przetrwa następną aktualizację.

Spis bez sekretów

Trzymaj etykietę urządzenia, publiczny identyfikator i właściciela w spisie, który możesz przeszukiwać. Nie kopiuj do niego kluczy prywatnych, bo zamienia listę zasobów w magazyn danych uwierzytelniających.

Wiersz „Laptop Any, publiczny klucz peera, wydany 12 marca” wystarcza do działania.

Usuwanie to procedura, nie przycisk

Zapisz, jak wyłączyć dokładnie jedno urządzenie i czy aktywna sesja wymaga osobnego kroku zakończenia. Sprawdź trwałość, żeby restart lub stara kopia konfiguracji nie przywróciły autoryzacji. Potwierdź, że usunięcie zadziałało, próbując połączyć się z usuniętego urządzenia. Potem sprawdź, czy coś jeszcze odwoływało się do tej tożsamości, na przykład sonda monitorująca albo współdzielona trasa.

Krok, który ludzie pomijają, jest ostatni, i tylko on dowodzi zmiany.

Kolejność wymiany

Najpierw wydaj nowe urządzenie, zweryfikuj je wobec zasobu, którego potrzebuje, a potem wycofaj stare. Wyjątkiem jest ekspozycja: jeśli stare urządzenie może być w cudzych rękach, usuń je najpierw i zaakceptuj przerwę.

W każdym razie przejrzyj zapisane eksporty na wycofanym sprzęcie, zanim opuści budynek.

Co dają osobne tożsamości

Trzy rzeczy, i każda ujawnia się podczas incydentu:

• Unieważnić jedno urządzenie bez ruszania pozostałych.
• Przypisać połączenie do urządzenia, a nie do grupy.
• Wyjaśnić awarię bez zbierania aktywności wszystkich.

Wskazówki operatora są autorytetem w kwestii jego własnego modelu zapewniania, czy to klucze na peera jak w szybkim starcie WireGuard, czy pojedyncze certyfikaty od lokalnego urzędu. Osobne rekordy to różnica między flotą, o której można myśleć, a flotą, którą można tylko zresetować.