En VPN-identitet per enhet: varför delning förstör borttagningen

En profil som kopierats till en bärbar dator, en telefon och en surfplatta fungerar bra tills en av dem tappas bort. Då är valet att avbryta varje enhet som delar identiteten eller att låta den oönskade åtkomsten ligga kvar. Båda alternativen är sämre än de tio minuter det hade tagit att utfärda tre identiteter. Mekanismen är inte komplicerad: en VPN-peer är en auktoriseringspost, och en post per enhet är det som gör borttagningen till en enda precis åtgärd.

Vad en delad profil delar

Att kopiera en privat nyckel kopierar hela auktoriseringen: peer-posten, tunneladressen och alla rutter och policyer som hänger på den. Servern kan inte skilja kopiorna åt, eftersom protokollet identifierar en peer med nyckel och inte med enhet. Varje loggrad, varje gräns och varje återkallningsbeslut gäller för gruppen. En delad profil är därför inte en bekvämlighet med liten säkerhetskostnad, den är en enda felpunkt med flera enheter fästa vid sig.

Samma logik gäller för ett delat konto som bara har ett certifikat.

Förse genom den identitetsmodell du har

En WireGuard-driftsättning kan auktorisera separata peer-nycklar, en per enhet. En certifikatbaserad driftsättning kan utfärda individuella klientcertifikat från sin egen utfärdare. Ett kontosystem kan kombinera en användare med separata enhetsposter, beroende på produkten. Använd operatörens stödda registreringsprocess, eftersom det att skapa en ny lokal hemlighet inte gör något förrän peeren eller gatewayen erkänner motsvarande auktorisering.

Den stödda vägen är också den som överlever nästa uppgradering.

Förteckning utan hemligheter

Håll enhetsetiketten, den offentliga identifieraren och ägaren i en förteckning du kan söka i. Kopiera inte privata nycklar till den förteckningen, eftersom det förvandlar en tillgångslista till ett lager för inloggningsuppgifter.

En rad som säger ”Anas bärbara dator, peerens offentliga nyckel, utfärdad 12 mars” räcker för att agera.

Borttagning är en procedur, inte en knapp

Anteckna hur man inaktiverar exakt en enhet och om en aktiv session behöver ett separat avslutningssteg. Kontrollera hållbarheten, så att en omstart eller en gammal konfigurationsbackup inte återinför auktoriseringen. Bekräfta att borttagningen fick effekt genom att försöka ansluta från den borttagna enheten. Kontrollera sedan om något annat hänvisade till den identiteten, som en övervakningsprob eller en delad rutt.

Steget folk hoppar över är det sista, och det är det enda som bevisar ändringen.

Ordning vid utbyte

Utfärda den nya enheten först, verifiera den mot resursen den behöver och pensionera sedan den gamla. Undantaget är exponering: om den gamla enheten kan vara i någon annans händer tar du bort den först och accepterar avbrottet.

Gå i vilket fall som helst igenom sparade exporter på hårdvaran som pensioneras innan den lämnar byggnaden.

Vad separata identiteter ger dig

Tre saker, och var och en visar sig under en incident:

• Återkalla en enhet utan att röra de andra.
• Knyta en anslutning till en enhet, inte till en grupp.
• Förklara ett fel utan att samla in allas aktivitet.

Operatörens vägledning är auktoriteten för deras egen försörjningsmodell, vare sig det är nycklar per peer som i WireGuard-snabbstarten eller individuella certifikat från en lokal utfärdare. Separata poster är skillnaden mellan en flotta du kan resonera om och en flotta du bara kan återställa.