Kako preklicati izgubljeno napravo VPN: ključ, potrdilo ali račun

Vaš prenosnik je izginil, VPN pa ga še vedno navaja kot odjemalca. Nujno vprašanje ni, kako izbrisati profil na stroju, ki ga nimate več, ampak katero identiteto strežnik še sprejema. WireGuard preverja javni ključ, nastavitev OpenVPN na osnovi PKI preverja potrdilo odjemalca, VPN s SSO pa preverja račun in njegov žeton seje. Ti trije se prekličejo na različnih mestih in z različno hitrostjo, popravljanje enega ob ignoriranju drugih pa je način, kako izgubljena naprava ostane povezana.

Tri identitete in kaj vsaka od njih nadzoruje

Vsak mehanizem odgovarja na drugo vprašanje. Ključ partnerja odgovarja, ali je to stroj, ki ste ga vpisali. Potrdilo odgovarja, ali ga je podpisal vaš CA in ni bil preklican. Račun odgovarja, ali se je ta oseba dovolj nedavno overila. Uvedba, ki plasti dva od njih, na primer potrdilo plus prijava v imenik, zapre vrata šele, ko se vsaki plasti, ki je napravi kaj izdala, reče, naj tega ne sprejema več.

Praktična past je, da manjkajoči stroj hrani zasebno polovico vsake poverilnice, zato nič, kar naredite lokalno, ne doseže strežnika.

WireGuard: odstranite partnerja, ker seznama preklica ni

WireGuard ne vodi nobenega seznama prepovedi. Vmesnik sprejema natanko tiste javne ključe, ki so nastavljeni kot partnerji, zato je preklic brisanje: zaženite wg set wg0 peer <public-key> remove, obliko, dokumentirano v wg(8), nato izbrišite ustrezni blok [Peer] iz wg0.conf. Naredite oboje. Odstranitev samo med izvajanjem preživi do naslednjega ponovnega zagona ali nalaganja konfiguracije, ko datoteka ključ vrne.

Obstoječe seje ne potrebujejo časovnika, da bi umrle. Odstranitev partnerja zavrže njegov rokovanje in ključni material, zato se promet ustavi takoj, ko je znova potreben veljaven par ključev. Preverite wg show wg0 latest-handshakes na strežniku: vnos za izgubljeni ključ bi moral izginiti in ostati odsoten, medtem ko drugi partnerji še naprej poročajo nedavne epohe.

Eno opozorilo je pomembnejše, kot se zdi. Če je izgubljena naprava delila ključ z drugimi napravami, ker je nekdo kopiral eno konfiguracijsko datoteko, odstranitev tega ključa vse odklopi; to je še vedno prava poteza, nato pa izdate ključe za vsako napravo posebej, namesto da obnovite skupnega.

Potrdila: CRL šteje le, če ga demon bere

Dostop na osnovi potrdil doda korak, ki ga ljudje preskočijo. easyrsa revoke laptop-01 označi potrdilo kot preklicano v zbirki CA, a VPN se iz te zbirke nič ne nauči. Nato zaženete easyrsa gen-crl, da zapišete crl.pem, ga kopirate na pot, navedeno v možnosti crl-verify strežnika, in potrdite, da tekoči demon uporablja novo datoteko. Preklic brez ponovnega ustvarjanja in razdeljevanja CRL je brez učinka.

Čas je druga polovica. CRL se preverja, ko se odjemalec poveže ali znova pogaja, zato lahko vzpostavljen tunel do takrat še posreduje. Če je treba napravo odrezati takoj, zaključite tisto sejo izrecno prek vmesnika za upravljanje OpenVPN, namesto da čakate na naslednji rokovanje. Ponovno nalaganje ali zagon storitve, odvisno od tega, kako uvedba nalaga CRL, je del spremembe in ne izbirni dodatek.

Preverjanje se splača opraviti z drugega stroja: predložite preklicano potrdilo in pričakujte neuspeh rokovanja, običajno VERIFY ERROR: depth=0, error=certificate revoked. Če povezava vseeno uspe, odjemalec bere drugačen CRL od tistega, ki ste ga posodobili.

Računi in seje: deaktivacija ni isto kot izgon

Prijave v imenik ali prek SSO se preverjajo ob overitvi. Deaktivacija računa blokira naslednjo prijavo, vendar lahko žeton za osvežitev in vzpostavljen tunel delujeta do izteka. Prekličite seje in žetone tega uporabnika ali zvišajte različico seje, če ponudnik identitete to podpira. Iz registracije MFA odstranite tudi izgubljeno napravo, saj je registrirani overjevalnik sam po sebi dostopna pot.

VPN-ji na osnovi RADIUS lahko pošljejo sporočilo o prekinitvi ali spremembo avtorizacije, da zrušijo aktivno sejo, a vsak strežnik omrežnega dostopa tega ne spoštuje. V dvomu zaključite uporabnikovo sejo s strani strežnika in v dnevnikih potrdite, da se je stara seja zaprla.

Vrstni red dejanj za naslednjo uro

Začnite s popisom, ne z odjemalcem: naštejte vsako identiteto, povezano z napravo, bodisi ključ partnerja, serijska številka potrdila ali račun. Prekličite v vsakem sistemu, ki izdaja, v vrstnem redu, v katerem se povezava gradi, torej najprej račun, nato potrdilo, nato partner. Nato dokažite zavrnitev s stroja, ki ga nadzorujete.

Dve nadaljnji dejanji zlahka pozabite. Prvič, zamenjajte vse drugo, kar je naprava imela, zlasti ključe SSH, poverilnice za oblačno konzolo in skupni vnaprej deljeni ključ WireGuard. Drugič, preverite, da upravljanje konfiguracije, posnetki ali zlate slike ne morejo pri naslednji ponovni gradnji vrniti odstranjenega odjemalca.

Trajna rešitev je ena identiteta na napravo. Ko vsak prenosnik nosi svoj ključ partnerja ali potrdilo, izguba stane en ukaz za preklic in ponovno izdajo, namesto ponovne gradnje celotne flote.