Један VPN идентитет по уређају: зашто дељење квари уклањање

Један профил копиран на лаптоп, телефон и таблет ради добро док се један од њих не изгуби. У том тренутку избор је прекинути сваки уређај који дели идентитет или оставити нежељени приступ на месту. Обе опције су горе од десет минута колико би требало да се издају три идентитета. Механизам није компликован: VPN peer је запис о ауторизацији, а један запис по уређају је оно што уклањање претвара у једну прецизну радњу.

Шта дели дељени профил

Копирање приватног кључа копира целу ауторизацију: унос peera, адресу тунела и све руте и политике везане за њега. Сервер не може да разликује копије, јер протокол идентификује peera по кључу, а не по уређају. Сваки ред у запису, свако ограничење и свака одлука о опозиву односе се на групу. Дељени профил зато није погодност са малим трошком безбедности, он је једна тачка отказа са неколико уређаја.

Иста логика важи за дељени налог који држи један сертификат.

Обезбедите кроз модел идентитета који имате

WireGuard инсталација може да ауторизује различите peerske кључеве, по један за сваки уређај. Инсталација заснована на сертификатима може да издаје појединачне клијентске сертификате из сопствене установе. Систем налога може да комбинује корисника са одвојеним записима уређаја, зависно од производа. Користите оператеров подржани процес уписа, јер генерисање нове локалне тајне не чини ништа док peer или мрежни пролаз не препозна одговарајућу ауторизацију.

Подржани пут је и онај који преживљава следећу надоградњу.

Инвентар без тајни

Држите ознаку уређаја, јавни идентификатор и власника у инвентару који можете да претражујете. Не копирајте приватне кључеве у тај инвентар, јер то попис имовине претвара у складиште акредитива.

Ред који каже „Анин лаптоп, јавни кључ peera, издат 12. марта“ довољан је за деловање.

Уклањање је процедура, а не дугме

Запишите како да онеспособите тачно један уређај и да ли активној сесији треба посебан корак прекида. Проверите постојаност, да поновно покретање или стара сигурносна копија конфигурације не врати ауторизацију. Потврдите да је уклањање деловало покушајем повезивања са уклоњеног уређаја. Затим проверите да ли је нешто друго референцирало тај идентитет, попут надзорне сонде или дељене руте.

Корак који људи прескачу је последњи и једини доказује промену.

Редослед замене

Прво издајте нови уређај, проверите га према ресурсу који му треба, па повуците стари. Изузетак је изложеност: ако стари уређај може бити у туђим рукама, прво га уклоните и прихватите прекид.

У сваком случају, прегледајте сачуване извозе на повученом хардверу пре него што напусти зграду.

Шта вам доносе одвојени идентитети

Три ствари, и свака се покаже током инцидента:

• Опозвати један уређај без дирања осталих.
• Приписати везу уређају, а не групи.
• Објаснити квар без прикупљања активности свих.

Оператерове смернице су ауторитет за његов сопствени модел обезбеђивања, било да су то кључеви по peeru као у WireGuard брзом почетку или појединачни сертификати локалне установе. Различити записи су разлика између флоте о којој можете да размишљате и флоте коју можете само да ресетујете.