Cum revoci un dispozitiv VPN pierdut: cheie, certificat sau cont

Laptopul tău a dispărut, iar VPN-ul îl mai listează ca client. Întrebarea urgentă nu este cum ștergi profilul de pe o mașină pe care nu o mai ai, ci care identitate este încă acceptată de server. WireGuard verifică o cheie publică, o configurație OpenVPN bazată pe PKI verifică un certificat de client, iar un VPN cu SSO verifică un cont și tokenul său de sesiune. Acestea trei se revocă în locuri diferite și cu viteze diferite, iar repararea uneia ignorând-o pe celelalte este modul în care un dispozitiv pierdut rămâne conectat.

Trei identități și ce controlează fiecare

Fiecare mecanism răspunde la o altă întrebare. O cheie de partener răspunde dacă aceasta este mașina pe care ai înregistrat-o. Un certificat răspunde dacă a fost semnat de CA-ul tău și nu a fost revocat. Un cont răspunde dacă această persoană s-a autentificat suficient de recent. O implementare care suprapune două dintre ele, de exemplu certificat plus autentificare în director, închide ușa doar când fiecărui strat care a emis ceva dispozitivului i s-a spus să nu mai accepte asta.

Capcana practică este că mașina lipsă păstrează jumătatea privată a fiecărei acreditări, așa că nimic din ce faci local nu ajunge la server.

WireGuard: elimină partenerul, pentru că nu există listă de revocare

WireGuard nu ține nicio listă de interdicție. Interfața acceptă exact cheile publice configurate ca parteneri, așa că revocarea înseamnă ștergere: rulează wg set wg0 peer <public-key> remove, forma documentată în wg(8), apoi șterge blocul [Peer] corespunzător din wg0.conf. Fă ambele. O eliminare doar în timpul execuției rezistă până la următoarea repornire sau reîncărcare a configurației, când fișierul pune cheia la loc.

Sesiunile existente nu au nevoie de un temporizator ca să moară. Eliminarea partenerului aruncă handshake-ul și materialul cheii, așa că traficul se oprește imediat ce este din nou necesară o pereche de chei validă. Verifică wg show wg0 latest-handshakes pe server: intrarea pentru cheia pierdută ar trebui să dispară și să rămână dispărută, în timp ce ceilalți parteneri continuă să raporteze epoci recente.

Un avertisment contează mai mult decât pare. Dacă dispozitivul pierdut partaja o cheie cu alte dispozitive pentru că cineva a copiat un fișier de configurare, eliminarea acelei chei le deconectează pe toate; este tot mișcarea corectă, iar după aceea emiți chei separat pentru fiecare dispozitiv în loc să o restaurezi pe cea partajată.

Certificate: un CRL contează doar dacă daemonul îl citește

Accesul bazat pe certificate adaugă un pas pe care oamenii îl sar. easyrsa revoke laptop-01 marchează certificatul ca revocat în baza de date a CA, dar VPN-ul nu învață nimic din acea bază. Apoi rulezi easyrsa gen-crl pentru a scrie crl.pem, îl copiezi în calea indicată în opțiunea crl-verify a serverului și confirmi că daemonul în execuție folosește fișierul nou. Revocarea fără regenerarea și distribuirea CRL-ului nu are efect.

Momentul este a doua jumătate. Un CRL este consultat când un client se conectează sau renegociază, așa că un tunel stabilit poate continua să transmită până atunci. Dacă dispozitivul trebuie tăiat imediat, termină acea sesiune explicit prin interfața de administrare OpenVPN în loc să aștepți următorul handshake. Reîncărcarea sau repornirea serviciului, în funcție de modul în care implementarea încarcă CRL-ul, face parte din schimbare și nu este un plus opțional.

Merită să faci verificarea de pe altă mașină: prezintă certificatul revocat și așteaptă un eșec de handshake, de obicei VERIFY ERROR: depth=0, error=certificate revoked. Dacă conexiunea reușește totuși, clientul citește un CRL diferit de cel pe care l-ai actualizat.

Conturi și sesiuni: dezactivarea nu este același lucru cu expulzarea

Autentificările în director sau prin SSO sunt verificate în momentul autentificării. Dezactivarea contului blochează următoarea autentificare, dar tokenul de reîmprospătare și tunelul stabilit pot continua să funcționeze până când expiră. Revocă sesiunile și tokenurile acelui utilizator, sau crește versiunea sesiunii dacă furnizorul de identitate o acceptă. Scoate și dispozitivul pierdut din înregistrarea MFA, deoarece un autentificator înregistrat este o cale de acces în sine.

VPN-urile bazate pe RADIUS pot trimite un mesaj de deconectare sau o modificare de autorizare pentru a elimina o sesiune activă, dar nu orice server de acces la rețea respectă asta. În caz de îndoială, termină sesiunea utilizatorului din partea serverului și confirmă în jurnale că sesiunea veche s-a închis.

Ordinea operațiunilor pentru următoarea oră

Începe cu inventarul, nu cu clientul: enumeră fiecare identitate legată de dispozitiv, fie că este cheie de partener, număr de serie al certificatului sau cont. Revocă în fiecare sistem emitent în ordinea în care se construiește conexiunea, adică mai întâi contul, apoi certificatul, apoi partenerul. Apoi demonstrează refuzul de pe o mașină pe care o controlezi.

Două acțiuni ulterioare sunt ușor de uitat. În primul rând, rotește tot ce mai avea dispozitivul, în special chei SSH, acreditări pentru consola cloud și o cheie WireGuard prepartajată. În al doilea rând, verifică dacă managementul configurației, instantaneele sau imaginile de aur nu pot reintroduce clientul eliminat la următoarea reconstrucție.

Soluția durabilă este o identitate pe dispozitiv. Când fiecare laptop poartă propria cheie de partener sau propriul certificat, o pierdere costă o comandă de revocare și o reemitere în locul unei reconstrucții a întregii flote.