Jak odwołać zgubione urządzenie VPN: klucz, certyfikat lub konto

Twój laptop zniknął, a VPN nadal wymienia go jako klienta. Pilne pytanie nie brzmi, jak usunąć profil na maszynie, której już nie masz, ale którą tożsamość serwer nadal akceptuje. WireGuard sprawdza klucz publiczny, konfiguracja OpenVPN oparta na PKI sprawdza certyfikat klienta, a VPN z SSO sprawdza konto i jego token sesji. Te trzy odwołuje się w różnych miejscach i z różną szybkością, a naprawa jednego przy ignorowaniu pozostałych to sposób, w jaki zgubione urządzenie pozostaje połączone.

Trzy tożsamości i co każda z nich kontroluje

Każdy mechanizm odpowiada na inne pytanie. Klucz partnera odpowiada, czy to ta maszyna, którą zarejestrowałeś. Certyfikat odpowiada, czy podpisał go twój CA i czy nie został odwołany. Konto odpowiada, czy ta osoba uwierzytelniła się wystarczająco niedawno. Wdrożenie, które nakłada dwie z nich, na przykład certyfikat plus logowanie do katalogu, zamyka drzwi dopiero wtedy, gdy każdej warstwie, która wydała urządzeniu coś, powiedziano, by przestała to akceptować.

Praktyczna pułapka polega na tym, że brakująca maszyna trzyma prywatną połowę każdego poświadczenia, więc nic, co zrobisz lokalnie, nie dociera do serwera.

WireGuard: usuń partnera, bo nie ma listy odwołań

WireGuard nie prowadzi listy blokad. Interfejs przyjmuje dokładnie te klucze publiczne, które skonfigurowano jako partnerów, więc odwołanie to usunięcie: uruchom wg set wg0 peer <public-key> remove, formę udokumentowaną w wg(8), a następnie usuń pasujący blok [Peer] z wg0.conf. Zrób jedno i drugie. Usunięcie tylko w czasie działania przetrwa do następnego restartu lub przeładowania konfiguracji, gdy plik przywróci klucz.

Istniejące sesje nie potrzebują zegara, by umrzeć. Usunięcie partnera odrzuca jego uzgadnianie i materiał klucza, więc ruch zatrzymuje się, gdy tylko znów potrzebna jest prawidłowa para kluczy. Sprawdź wg show wg0 latest-handshakes na serwerze: wpis zgubionego klucza powinien zniknąć i pozostać nieobecny, a pozostali partnerzy nadal zgłaszają świeże epoki.

Jedno zastrzeżenie jest ważniejsze, niż wygląda. Jeśli zgubione urządzenie dzieliło klucz z innymi urządzeniami, bo ktoś skopiował jeden plik konfiguracji, usunięcie tego klucza odłącza je wszystkie; to nadal właściwy krok, a potem wydajesz klucze osobno dla każdego urządzenia zamiast przywracać wspólny.

Certyfikaty: CRL liczy się tylko wtedy, gdy demon ją czyta

Dostęp oparty na certyfikatach dodaje krok, który ludzie pomijają. easyrsa revoke laptop-01 oznacza certyfikat jako odwołany w bazie CA, ale VPN nie uczy się z tej bazy niczego. Potem uruchamiasz easyrsa gen-crl, aby zapisać crl.pem, kopiujesz go do ścieżki podanej w opcji crl-verify serwera i potwierdzasz, że działający demon używa nowego pliku. Odwołanie bez ponownego wygenerowania i dystrybucji CRL jest bezskuteczne.

Czas to druga połowa. CRL jest sprawdzana, gdy klient się łączy lub renegocjuje, więc ustanowiony tunel może nadal przekazywać do tego momentu. Jeśli urządzenie trzeba odciąć natychmiast, zakończ tę sesję jawnie przez interfejs zarządzania OpenVPN, zamiast czekać na kolejne uzgadnianie. Ponowne wczytanie lub restart usługi, w zależności od tego, jak wdrożenie ładuje CRL, jest częścią zmiany, a nie opcjonalnym dodatkiem.

Weryfikację warto przeprowadzić z innej maszyny: przedstaw odwołany certyfikat i oczekuj niepowodzenia uzgadniania, zwykle VERIFY ERROR: depth=0, error=certificate revoked. Jeśli połączenie nadal się udaje, klient czyta inną CRL niż ta, którą zaktualizowałeś.

Konta i sesje: wyłączenie to nie to samo co wyrzucenie

Logowania do katalogu lub przez SSO są sprawdzane w momencie uwierzytelnienia. Wyłączenie konta blokuje następne logowanie, ale token odświeżania i ustanowiony tunel mogą działać do ich wygaśnięcia. Odwołaj sesje i tokeny tego użytkownika albo podnieś wersję sesji, jeśli dostawca tożsamości to obsługuje. Usuń też zgubione urządzenie z rejestracji MFA, bo zarejestrowany uwierzytelniacz sam jest ścieżką dostępu.

VPN oparte na RADIUS mogą wysłać komunikat rozłączenia lub zmianę autoryzacji, aby zrzucić aktywną sesję, ale nie każdy serwer dostępu sieciowego to respektuje. W razie wątpliwości zakończ sesję użytkownika po stronie serwera i potwierdź w logach, że stara sesja została zamknięta.

Kolejność działań na najbliższą godzinę

Zacznij od inwentarza, nie od klienta: wypisz każdą tożsamość związaną z urządzeniem, czy to klucz partnera, numer seryjny certyfikatu czy konto. Odwołaj w każdym systemie wydającym w kolejności, w jakiej budowane jest połączenie, czyli najpierw konto, potem certyfikat, potem partner. Następnie udowodnij odmowę z maszyny, którą kontrolujesz.

Dwa dalsze kroki łatwo zapomnieć. Po pierwsze, wymień wszystko inne, co urządzenie miało, zwłaszcza klucze SSH, dane konsoli chmurowej i wspólny wstępnie udostępniony klucz WireGuard. Po drugie, sprawdź, czy zarządzanie konfiguracją, migawki lub złote obrazy nie mogą przywrócić usuniętego klienta przy następnej przebudowie.

Trwałym rozwiązaniem jest jedna tożsamość na urządzenie. Gdy każdy laptop nosi własny klucz partnera lub certyfikat, utrata kosztuje jedno polecenie odwołania i ponowne wydanie zamiast przebudowy całej floty.