Ako odvolať stratené zariadenie VPN: kľúč, certifikát alebo účet

Váš notebook je preč a VPN ho stále uvádza ako klienta. Naliehavá otázka neznie, ako vymazať profil na stroji, ktorý už nemáte, ale ktorú identitu server ešte prijíma. WireGuard kontroluje verejný kľúč, konfigurácia OpenVPN založená na PKI kontroluje klientsky certifikát a VPN s jednotným prihlásením kontroluje účet a jeho reláciu. Tieto tri sa odvolávajú na rôznych miestach a rôznou rýchlosťou, a oprava jednej pri ignorovaní ostatných je spôsob, akým stratené zariadenie zostáva pripojené.

Tri identity a čo každá z nich riadi

Každý mechanizmus odpovedá na inú otázku. Kľúč partnera odpovedá, či je to stroj, ktorý ste zapísali. Certifikát odpovedá, či ho podpísala vaša CA a nebol odvolaný. Účet odpovedá, či sa táto osoba dostatočne nedávno autentizovala. Nasadenie, ktoré vrství dve z nich, napríklad certifikát plus prihlásenie do adresára, zavrie dvere len vtedy, keď sa každej vrstve, ktorá zariadeniu niečo vydala, povie, aby to prestala prijímať.

Praktická pasca je v tom, že chýbajúci stroj drží súkromnú polovicu každého poverenia, takže nič, čo urobíte lokálne, sa na server nedostane.

WireGuard: odstráňte partnera, pretože neexistuje zoznam odvolaní

WireGuard nevedie žiadny zoznam zákazov. Rozhranie prijíma presne tie verejné kľúče nakonfigurované ako partneri, takže odvolanie je vymazanie: spustite wg set wg0 peer <public-key> remove, podobu zdokumentovanú v wg(8), potom vymažte zodpovedajúci blok [Peer] zo súboru wg0.conf. Urobte oboje. Odstránenie len za behu prežije do ďalšieho reštartu alebo opätovného načítania konfigurácie, keď súbor kľúč vráti.

Existujúce relácie nepotrebujú časovač, aby zanikli. Odstránenie partnera zahodí jeho handshake a kľúčový materiál, takže prevádzka sa zastaví, hneď ako je znova potrebný platný pár kľúčov. Skontrolujte wg show wg0 latest-handshakes na serveri: záznam strateného kľúča by mal zmiznúť a zostať preč, zatiaľ čo ostatní partneri ďalej hlásia nedávne epochy.

Jedno upozornenie je dôležitejšie, než vyzerá. Ak stratené zariadenie zdieľalo kľúč s inými zariadeniami, pretože niekto skopíroval jeden konfiguračný súbor, odstránenie toho kľúča ich všetky odpojí; stále je to správny krok a potom vydáte kľúče pre každé zariadenie zvlášť namiesto obnovenia zdieľaného.

Certifikáty: CRL sa počíta len vtedy, keď ju démon číta

Prístup založený na certifikátoch pridáva krok, ktorý ľudia preskakujú. easyrsa revoke laptop-01 označí certifikát ako odvolaný v databáze CA, ale VPN sa z tej databázy nič nedozvie. Potom spustíte easyrsa gen-crl, aby ste zapísali crl.pem, skopírujete ho na cestu uvedenú v možnosti crl-verify servera a potvrdíte, že bežiaci démon používa nový súbor. Odvolanie bez opätovného vygenerovania a distribúcie CRL je neúčinné.

Časovanie je druhá polovica. CRL sa kontroluje, keď sa klient pripojí alebo znovu vyjednáva, takže vytvorený tunel môže do tej doby ďalej posielať. Ak zariadenie treba odstrihnúť okamžite, ukončite tú reláciu explicitne cez rozhranie na správu OpenVPN, namiesto čakania na ďalší handshake. Opätovné načítanie alebo reštart služby, podľa toho, ako nasadenie načítava CRL, je súčasťou zmeny, nie voliteľným doplnkom.

Overenie sa oplatí urobiť z iného stroja: predložte odvolaný certifikát a očakávajte zlyhanie handshake, zvyčajne VERIFY ERROR: depth=0, error=certificate revoked. Ak spojenie napriek tomu uspeje, klient číta inú CRL, než ktorú ste aktualizovali.

Účty a relácie: deaktivácia nie je to isté ako vylúčenie

Prihlásenia do adresára alebo cez SSO sa kontrolujú v čase autentizácie. Deaktivácia účtu zablokuje ďalšie prihlásenie, ale obnovovací token a vytvorený tunel môžu fungovať ďalej, kým nevypršia. Odvolajte relácie a tokeny tohto používateľa alebo zvýšte verziu relácie, ak to poskytovateľ identity podporuje. Odstráňte stratené zariadenie aj z registrácie MFA, pretože registrovaný autentifikátor je sám o sebe prístupovou cestou.

Hodnoty VPN založené na RADIUS môžu poslať správu o odpojení alebo zmenu autorizácie, aby zhodili aktívnu reláciu, ale nie každý server sieťového prístupu to rešpektuje. V prípade pochybností ukončite reláciu používateľa zo strany servera a v protokoloch potvrďte, že stará relácia bola uzavretá.

Poradie krokov na nasledujúcu hodinu

Začnite od inventára, nie od klienta: vypíšte každú identitu spojenú so zariadením, či už kľúč partnera, sériové číslo certifikátu alebo účet. Odvolajte v každom vydávajúcom systéme v poradí, v akom sa spojenie zostavuje, teda najprv účet, potom certifikát, potom partner. Potom odmietnutie preukážte zo stroja, ktorý ovládate.

Dve následné akcie sa ľahko zabudnú. Po prvé, vymeňte všetko ostatné, čo zariadenie malo, najmä SSH kľúče, prihlasovacie údaje ku cloudovej konzole a zdieľaný predzdieľaný kľúč WireGuard. Po druhé, skontrolujte, či správa konfigurácie, snímky alebo zlaté obrazy nemôžu pri ďalšej prestavbe vrátiť odstráneného klienta.

Trvalým riešením je jedna identita na zariadenie. Keď každý notebook nesie svoj kľúč partnera alebo certifikát, strata stojí jeden príkaz na odvolanie a nové vydanie namiesto prestavby celej flotily.