Jinsi ya kubatilisha kifaa cha VPN kilichopotea: ufunguo, cheti au akaunti

Kompyuta yako mpito imepotea, na VPN bado inaiorodhesha kama mteja. Swali la haraka si jinsi ya kufuta profaili kwenye mashine usiyo nayo tena, bali ni utambulisho upi ambao seva bado inakubali. WireGuard hukagua ufunguo wa umma, usanidi OpenVPN unaotegemea PKI hukagua cheti cha mteja, na VPN yenye SSO hukagua akaunti na tokeni ya kipindi chake. Hivi vitatu hubatilishwa mahali tofauti na kwa kasi tofauti, na kurekebisha kimoja huku ukizipuuza vingine ndiyo njia ambayo kifaa kilichopotea hubaki kimeunganishwa.

Vitambulisho vitatu na kila kimoja kinadhibiti nini

Kila utaratibu hujibu swali tofauti. Ufunguo wa mwenza hujibu kama hii ni mashine uliyoisajili. Cheti hujibu kama kilisainiwa na CA yako na hakijabatilishwa. Akaunti hujibu kama mtu huyu alithibitisha utambulisho wake hivi karibuni vya kutosha. Usambazaji unaoweka tabaka mbili kati yao, kwa mfano cheti pamoja na kuingia kwenye saraka, hufunga mlango tu pale tabaka kila lililompa kifaa kitu linaambiwa liacha kukikubali.

Mtego wa kiutendaji ni kwamba mashine iliyopotea inashikilia nusu ya faragha ya kila kitambulisho, kwa hiyo chochote unachofanya ndani hakifiki kwenye seva.

WireGuard: ondoa mwenza, kwa sababu hakuna orodha ya ubatilishaji

WireGuard haiweki orodha yoyote ya marufuku. Kiolesura hukubali funguo za umma zilizosanidiwa kama wenzi kwa usahihi, kwa hiyo ubatilishaji ni kufuta: endesha wg set wg0 peer <public-key> remove, umbo lililoandikwa katika wg(8), kisha futa bloku ya [Peer] inayolingana kutoka wg0.conf. Fanya zote mbili. Kuondoa wakati wa utekelezaji pekee hudumu hadi kuwasha upya au kupakia usanidi unaofuata, ambapo faili hurudisha ufunguo.

Vipindi vilivyopo havihitaji kipima muda kufa. Kuondoa mwenza hutupa kupeana mikono na nyenzo za ufunguo wake, kwa hiyo trafiki husimama mara tu jozi halali ya funguo inapohitajika tena. Kagua wg show wg0 latest-handshakes kwenye seva: ingizo la ufunguo uliopotea linapaswa kutoweka na kubaki halipo, wakati wenzi wengine wanaendelea kuripoti enzi za hivi karibuni.

Tahadhari moja ni muhimu zaidi kuliko inavyoonekana. Ikiwa kifaa kilichopotea kilishiriki ufunguo na vifaa vingine kwa sababu mtu alinakili faili moja ya usanidi, kuondoa ufunguo huo hukata kiunganishi chao wote; bado ni hatua sahihi, na baadaye hutoa funguo kwa kila kifaa badala ya kurejesha ile iliyoshirikiwa.

Vyeti: CRL inahesabiwa tu ikiwa daemon anaikagua

Ufikiaji unaotegemea vyeti huongeza hatua ambayo watu huiruka. easyrsa revoke laptop-01 huweka alama cheti kama kilichobatilishwa katika hifadhidata ya CA, lakini VPN haijifunzi chochote kutoka hifadhidata hiyo. Kisha unaendesha easyrsa gen-crl kuandika crl.pem, unakinakili kwenye njia iliyotajwa katika chaguo la crl-verify la seva, na unathibitisha kuwa daemon inayoendesha inatumia faili jipya. Kubatilisha bila kuzalisha upya na kusambaza CRL hakuna athari.

Muda ni nusu ya pili. CRL hushauriwa wakati mteja anajiunga au anajadili upya, kwa hiyo handaki iliyoimarishwa inaweza kuendelea kupeleka hadi wakati huo. Ikiwa kifaa lazima kikatwe mara moja, maliza kipindi hicho kwa uwazi kupitia kiolesura cha usimamizi cha OpenVPN badala ya kusubiri kupeana mikono kunakofuata. Kupakia upya au kuwasha upya huduma, kulingana na jinsi usambazaji unavyopakia CRL, ni sehemu ya mabadiliko na si nyongeza ya hiari.

Inafaa kufanya uthibitishaji kutoka mashine nyingine: wasilisha cheti kilichobatilishwa na utarajie kushindwa kwa kupeana mikono, kwa kawaida VERIFY ERROR: depth=0, error=certificate revoked. Ikiwa muunganisho bado unafanikiwa, mteja anasoma CRL tofauti na ile uliyoisasisha.

Akaunti na vipindi: kuzima si sawa na kufukuza

Kuingia kwenye saraka au kwa SSO hukaguliwa wakati wa uthibitishaji. Kuzima akaunti huzuia kuingia kunakofuata, lakini tokeni ya kuonyesha upya na handaki iliyoimarishwa zinaweza kuendelea kufanya kazi hadi zimalizike muda. Batilisha vipindi na tokeni za mtumiaji huyo, au pandisha toleo la kipindi ikiwa mtoa utambulisho anaunga mkono. Ondoa pia kifaa kilichopotea kwenye usajili wa MFA, kwa sababu kithibitishaji kilichosajiliwa ni njia ya ufikiaji yenyewe.

VPN zinazotegemea RADIUS zinaweza kutuma ujumbe wa kukatwa au mabadiliko ya idhini ili kuangusha kipindi kinachotumika, lakini si kila seva ya ufikiaji wa mtandao inaheshimu hilo. Ukiwa na shaka, maliza kipindi cha mtumiaji kutoka upande wa seva na uthibitishe kwenye kumbukumbu kuwa kipindi cha zamani kilifungwa.

Mpangilio wa vitendo kwa saa ijayo

Anza na orodha ya mali, si mteja: orodhesha kila utambulisho unaohusiana na kifaa, iwe ufunguo wa mwenza, namba ya mfululizo ya cheti au akaunti. Batilisha katika kila mfumo unaotoa kwa mpangilio ambao muunganisho hujengwa, yaani akaunti kwanza, kisha cheti, kisha mwenza. Kisha thibitisha kukataa kutoka mashine unayodhibiti.

Vitendo viwili vya ufuatiliaji ni rahisi kusahau. Kwanza, badilisha kila kitu kingine ambacho kifaa kilikuwa nacho, hasa funguo za SSH, vitambulisho vya koni ya wingu na ufunguo wa WireGuard ulioshirikiwa mapema. Pili, kagua kuwa usimamizi wa usanidi, picha za papo hapo au picha za dhahabu haviwezi kurudisha mteja aliyeondolewa kwenye ujenzi upya unaofuata.

Suluhisho la kudumu ni utambulisho mmoja kwa kila kifaa. Wakati kila kompyuta mpito inabeba ufunguo wake wa mwenza au cheti chake, upotevu hugharimu amri moja ya ubatilishaji na utoaji mmoja upya badala ya kujenga upya meli yote.