Проведите инвентаризацию VPN-профилей на ноутбуке до его списания

Ноутбук возвращается в лизинговую компанию, коллеге или на переработку. Где-то внутри него есть VPN-профили, которые аутентифицируются как кто-то, и значок отключённого клиента не значит, что они исчезли. Нужная инвентаризация — это список идентичностей и владельцев, а не папка со скопированными ключами. Первое полезно; второе — новый инцидент, ждущий даты.

Пять шагов, начиная с того, что машина уже знает о себе.

Шаг 1: перечислите, что система считает установленным

В Windows Get-VpnConnection и Get-VpnConnection -AllUserConnection перечисляют собственные профили в обеих областях, а список установленных программ ловит сторонние клиенты. В macOS панель сети показывает настроенные службы, а профили живут в системной конфигурации, а не в папке, которую можно просмотреть. В Linux NetworkManager хранит файлы подключений, а демоны туннелей — свои. Запишите список до того, как что-то удалять.

Установленный клиент без видимого профиля всё равно важен, потому что может хранить кэшированные учётные данные в системном хранилище.

Шаг 2: найдите профили, которые хранят клиенты

Профили прячутся в предсказуемых местах, как только вы знаете платформу. Windows держит адресные книги в профиле пользователя и в ProgramData, а сертификаты — в личном хранилище. macOS держит сетевые службы в plist системной конфигурации, а учётные данные — в Keychain. Дистрибутивы Linux держат подключения NetworkManager в /etc/NetworkManager/system-connections/, а определения WireGuard или OpenVPN — в /etc/wireguard/ и /etc/openvpn/. Файлы по этим путям часто содержат встроенный закрытый ключ.

Ищите по содержимому, а не только по имени. Файл с именем backup.txt может быть профилем OpenVPN с ключом внутри.

Шаг 3: записывайте владельца, а не материал ключа

Для каждого профиля запишите идентификатор, владельца, последнее известное использование и место, где хранится авторитетная копия. Не копируйте ключ, сертификат или пароль в инвентаризацию, потому что инвентаризация проходит через заявки, таблицы и чат, и она переживёт ноутбук. Ссылки вроде записи в хранилище оператора для профиля X достаточно, чтобы действовать.

Инвентаризация, содержащая секреты, которые она должна была помочь отозвать, сделала проблему больше.

Шаг 4: отзовите идентичность на обоих концах

Удаление файла убирает одну копию. Если устройству больше никогда не будут доверять, попросите оператора убрать авторизацию, отозвать сертификат или удалить учётную запись, потому что копия в другом месте всё ещё аутентифицируется. Управляемые профили и сертификаты машины обычно имеют сценарий вывода из эксплуатации, который уже знает оба конца, и он быстрее импровизированного. Оставьте незнакомые системные записи в покое, пока не узнаете, кто ими владеет.

Локальное удаление без удалённого отзыва — это уборка, а не вывод из эксплуатации.

Шаг 5: проверьте резервные копии, о которых забыли

Старые экспорты живут в папках загрузок, в архивах резервных копий, в файле заметок и на внешнем диске с двух работ назад. Проверьте те, что под вашим контролем, и держите необходимую историческую запись отдельно от действующих учётных данных, потому что архив отозванного профиля — это запись, а не рабочий ключ.

Затем проверьте конечное состояние: нужный доступ больше не работает, и человек, владеющий учётной записью, знает, что её удалили.