วิธีเพิกถอนอุปกรณ์ VPN ที่สูญหาย: คีย์ ใบรับรอง หรือบัญชี

แล็ปท็อปของคุณหายไป และ VPN ยังคงแสดงเป็นไคลเอนต์ คำถามเร่งด่วนไม่ใช่ว่าจะลบโปรไฟล์บนเครื่องที่คุณไม่มีแล้วได้อย่างไร แต่เป็นว่าเซิร์ฟเวอร์ยังยอมรับตัวตนใด WireGuard ตรวจสอบคีย์สาธารณะ การตั้งค่า OpenVPN ที่อิง PKI ตรวจสอบใบรับรองไคลเอนต์ และ VPN ที่ใช้ SSO ตรวจสอบบัญชีและโทเคนเซสชันของบัญชีนั้น สามสิ่งนี้ถูกเพิกถอนในที่ต่างกันและด้วยความเร็วต่างกัน และการแก้ไขสิ่งหนึ่งโดยเพิกเฉยสิ่งอื่นคือวิธีที่อุปกรณ์ที่สูญหายยังคงเชื่อมต่ออยู่

สามตัวตนและสิ่งที่แต่ละอย่างควบคุม

แต่ละกลไกตอบคำถามคนละข้อ คีย์พีียร์ตอบว่าเป็นเครื่องที่คุณลงทะเบียนไว้หรือไม่ ใบรับรองตอบว่าถูกเซ็นโดย CA ของคุณและยังไม่ถูกเพิกถอนหรือไม่ บัญชีตอบว่าบุคคลนี้พิสูจน์ตัวตนล่าสุดเพียงพอหรือไม่ การติดตั้งที่ซ้อนสองอย่าง เช่น ใบรับรองบวกการเข้าสู่ระบบไดเรกทอรี จะปิดประตูก็ต่อเมื่อทุกชั้นที่ออกอะไรให้อุปกรณ์ได้รับแจ้งให้หยุดยอมรับ

กับดักในทางปฏิบัติคือเครื่องที่หายไปถือครึ่งส่วนตัวของข้อมูลรับรองแต่ละรายการ ดังนั้นสิ่งที่คุณทำในเครื่องจึงไปไม่ถึงเซิร์ฟเวอร์

WireGuard: ลบพีียร์ เพราะไม่มีรายการเพิกถอน

WireGuard ไม่มีรายการห้ามใด ๆ อินเทอร์เฟซยอมรับคีย์สาธารณะที่กำหนดเป็นพีียร์เท่านั้น ดังนั้นการเพิกถอนคือการลบ: รัน wg set wg0 peer <public-key> remove ซึ่งเป็นรูปแบบที่บันทึกไว้ใน wg(8) จากนั้นลบบล็อก [Peer] ที่ตรงกันออกจาก wg0.conf ทำทั้งสองอย่าง การลบเฉพาะขณะทำงานจะอยู่ได้ถึงการรีบูตหรือการโหลดการกำหนดค่าครั้งถัดไป ซึ่งไฟล์จะใส่คีย์กลับ

เซสชันที่มีอยู่ไม่ต้องใช้ตัวจับเวลาเพื่อตาย การลบพีียร์ทิ้งแฮนด์เชกและวัสดุคีย์ของมัน ดังนั้นทราฟฟิกจะหยุดทันทีที่ต้องใช้คู่คีย์ที่ถูกต้องอีกครั้ง ตรวจสอบ wg show wg0 latest-handshakes บนเซิร์ฟเวอร์: รายการของคีย์ที่หายไปควรหายไปและคงหายไป ขณะที่พีียร์อื่นยังรายงานยุคเวลาล่าสุด

ข้อควรระวังหนึ่งข้อสำคัญกว่าที่เห็น หากอุปกรณ์ที่สูญหายใช้คีย์ร่วมกับอุปกรณ์อื่นเพราะมีคนคัดลอกไฟล์กำหนดค่าหนึ่งไฟล์ การลบคีย์นั้นจะตัดการเชื่อมต่อทั้งหมด นั่นยังเป็นการกระทำที่ถูกต้อง และหลังจากนั้นคุณออกคีย์แยกตามอุปกรณ์แทนการกู้คืนคีย์ร่วม

ใบรับรอง: CRL นับเฉพาะเมื่อแดมอนอ่านมัน

การเข้าถึงด้วยใบรับรองเพิ่มขั้นตอนที่ผู้คนข้ามไป easyrsa revoke laptop-01 ทำเครื่องหมายใบรับรองว่าถูกเพิกถอนในฐานข้อมูล CA แต่ VPN ไม่ได้เรียนรู้อะไรจากฐานข้อมูลนั้น จากนั้นคุณรัน easyrsa gen-crl เพื่อเขียน crl.pem คัดลอกไปยังเส้นทางที่ระบุในตัวเลือก crl-verify ของเซิร์ฟเวอร์ และยืนยันว่าแดมอนที่ทำงานอยู่ใช้ไฟล์ใหม่ การเพิกถอนโดยไม่สร้างและแจกจ่าย CRL ใหม่นั้นไม่มีผล

จังหวะเวลาคืออีกครึ่งหนึ่ง CRL ถูกตรวจสอบเมื่อไคลเอนต์เชื่อมต่อหรือเจรจาใหม่ ดังนั้นอุโมงค์ที่สร้างแล้วอาจส่งต่อได้จนถึงตอนนั้น หากต้องตัดอุปกรณ์ออกทันที ให้สิ้นสุดเซสชันนั้นอย่างชัดเจนผ่านอินเทอร์เฟซการจัดการของ OpenVPN แทนการรอแฮนด์เชกครั้งถัดไป การโหลดหรือรีสตาร์ตบริการ ขึ้นอยู่กับการติดตั้งว่าโหลด CRL อย่างไร เป็นส่วนหนึ่งของการเปลี่ยนแปลง ไม่ใช่ส่วนเสริมตามตัวเลือก

ควรตรวจสอบจากเครื่องอื่น: เสนอใบรับรองที่ถูกเพิกถอนและคาดว่าจะแฮนด์เชกล้มเหลว โดยทั่วไปคือ VERIFY ERROR: depth=0, error=certificate revoked หากการเชื่อมต่อยังสำเร็จ ไคลเอนต์กำลังอ่าน CRL คนละไฟล์กับที่คุณอัปเดต

บัญชีและเซสชัน: การปิดใช้งานไม่เหมือนกับการไล่ออก

การเข้าสู่ระบบไดเรกทอรีหรือ SSO ถูกตรวจสอบ ณ เวลาพิสูจน์ตัวตน การปิดใช้งานบัญชีบล็อกการเข้าสู่ระบบครั้งถัดไป แต่โทเคนรีเฟรชและอุโมงค์ที่สร้างแล้วอาจทำงานต่อไปจนหมดอายุ เพิกถอนเซสชันและโทเคนของผู้ใช้รายนั้น หรือเพิ่มเวอร์ชันเซสชันหากผู้ให้บริการตัวตนรองรับ และนำอุปกรณ์ที่สูญหายออกจากการลงทะเบียน MFA ด้วย เพราะเครื่องพิสูจน์ตัวตนที่ลงทะเบียนไว้เป็นเส้นทางเข้าถึงในตัวเอง

VPN ที่ใช้ RADIUS สามารถส่งข้อความตัดการเชื่อมต่อหรือการเปลี่ยนแปลงสิทธิ์เพื่อตัดเซสชันที่ใช้งานอยู่ แต่ไม่ใช่ทุกเซิร์ฟเวอร์การเข้าถึงเครือข่ายที่จะปฏิบัติตาม เมื่อไม่แน่ใจ ให้สิ้นสุดเซสชันของผู้ใช้จากฝั่งเซิร์ฟเวอร์และยืนยันในบันทึกว่าเซสชันเก่าปิดแล้ว

ลำดับการดำเนินการสำหรับชั่วโมงถัดไป

เริ่มจากบัญชีทรัพย์สิน ไม่ใช่จากไคลเอนต์: ระบุทุกตัวตนที่ผูกกับอุปกรณ์ ไม่ว่าจะเป็นคีย์พีียร์ หมายเลขซีเรียลใบรับรอง หรือบัญชี เพิกถอนในแต่ละระบบที่ออกตามลำดับที่สร้างการเชื่อมต่อ นั่นคือบัญชีก่อน จากนั้นใบรับรอง จากนั้นพีียร์ แล้วพิสูจน์การปฏิเสธจากเครื่องที่คุณควบคุม

สองขั้นตอนติดตามผลที่ลืมได้ง่าย อย่างแรก หมุนเวียนทุกอย่างอื่นที่อุปกรณ์ถืออยู่ โดยเฉพาะคีย์ SSH ข้อมูลรับรองคอนโซลคลาวด์ และคีย์ที่แชร์ล่วงหน้าของ WireGuard อย่างที่สอง ตรวจสอบว่าการจัดการการกำหนดค่า สแนปช็อต หรืออิมเมจทองคำไม่สามารถนำไคลเอนต์ที่ถูกลบกลับมาในการสร้างใหม่ครั้งถัดไป

วิธีแก้ที่ยั่งยืนคือหนึ่งตัวตนต่ออุปกรณ์ เมื่อแล็ปท็อปแต่ละเครื่องมีคีย์พีียร์หรือใบรับรองของตัวเอง การสูญหายมีต้นทุนเป็นคำสั่งเพิกถอนหนึ่งครั้งและการออกใหม่หนึ่งครั้ง แทนการสร้างทั้งกองเรือใหม่