Одна личность VPN на устройство: почему совместное использование ломает удаление

Один профиль, скопированный на ноутбук, телефон и планшет, работает нормально, пока одно из них не потеряется. В этот момент выбор — прервать каждое устройство, использующее эту личность, или оставить нежелательный доступ на месте. Оба варианта хуже тех десяти минут, которые понадобились бы на выдачу трёх личностей. Механизм несложен: пир VPN — это запись авторизации, и одна запись на устройство превращает удаление в одно точное действие.

Что разделяет общий профиль

Копирование приватного ключа копирует всю авторизацию: запись пира, адрес туннеля и все привязанные к ней маршруты и политики. Сервер не может различить копии, потому что протокол определяет пира по ключу, а не по устройству. Каждая строка журнала, каждый лимит и каждое решение об отзыве относятся к группе. Поэтому общий профиль — не удобство с небольшой платой за безопасность, а единственная точка отказа, к которой привязано несколько устройств.

Та же логика действует для общей учётной записи с одним сертификатом.

Обеспечивайте через ту модель личности, которая у вас есть

Развёртывание WireGuard может авторизовать отдельные ключи пиров, по одному на устройство. Развёртывание на основе сертификатов может выдавать отдельные клиентские сертификаты из собственного удостоверяющего центра. Система учётных записей может связывать пользователя с отдельными записями устройств, в зависимости от продукта. Используйте поддерживаемый оператором процесс регистрации, потому что создание нового локального секрета ничего не даёт, пока пир или шлюз не признают соответствующую авторизацию.

Поддерживаемый путь — это и тот, который переживёт следующее обновление.

Опись без секретов

Храните метку устройства, публичный идентификатор и владельца в описи, по которой можно искать. Не копируйте туда приватные ключи, потому что это превращает список активов в хранилище учётных данных.

Строки «Ноутбук Аны, публичный ключ пира, выдан 12 марта» достаточно, чтобы действовать.

Удаление — это процедура, а не кнопка

Запишите, как отключить ровно одно устройство и нужен ли активной сессии отдельный шаг завершения. Проверьте устойчивость, чтобы перезапуск или старая резервная копия конфигурации не вернули авторизацию. Подтвердите, что удаление сработало, попытавшись подключиться с удалённого устройства. Затем проверьте, не ссылалось ли на эту личность что-то ещё, например зонд мониторинга или общий маршрут.

Шаг, который люди пропускают, — последний, и только он доказывает изменение.

Порядок замены

Сначала выдайте новое устройство, проверьте его на нужном ему ресурсе, затем выведите из эксплуатации старое. Исключение — компрометация: если старое устройство может быть в чужих руках, удалите его первым и примите перерыв.

В любом случае просмотрите сохранённые экспорты на выведенном оборудовании, прежде чем оно покинет здание.

Что дают отдельные личности

Три вещи, и каждая проявляется во время инцидента:

• Отозвать одно устройство, не затрагивая остальные.
• Привязать соединение к устройству, а не к группе.
• Объяснить сбой, не собирая активность всех.

Руководство оператора — это авторитет для его собственной модели предоставления, будь то ключи на пира, как в быстром старте WireGuard, или отдельные сертификаты локального центра. Отдельные записи — это разница между парком, о котором можно рассуждать, и парком, который можно только сбросить.