Paano bawiin ang nawalang VPN device: key, sertipiko o account

Nawala ang iyong laptop, at nakalista pa rin ito sa VPN bilang kliyente. Ang agarang tanong ay hindi kung paano burahin ang profile sa isang makina na wala ka nang hawak, kundi kung aling pagkakakilanlan ang tinatanggap pa ng server. Sinusuri ng WireGuard ang pampublikong key, sinusuri ng OpenVPN setup na nakabatay sa PKI ang sertipiko ng kliyente, at sinusuri ng VPN na may SSO ang account at ang token ng sesyon nito. Ang tatlong ito ay binabawi sa magkaibang lugar, sa magkaibang bilis, at ang ayusin ang isa habang binabalewala ang iba ay ang paraan para manatiling konektado ang nawalang device.

Tatlong pagkakakilanlan at kung ano ang kinokontrol ng bawat isa

Bawat mekanismo ay sumasagot sa magkaibang tanong. Ang peer key ay sumasagot kung ito ang makinang inirehistro mo. Ang sertipiko ay sumasagot kung pinirmahan ito ng iyong CA at hindi pa binawi. Ang account ay sumasagot kung ang taong ito ay nagpatunay ng pagkakakilanlan nang sapat kamakailan. Ang deployment na nagpapatong ng dalawa sa kanila, halimbawa sertipiko at pag-login sa direktoryo, ay nagsasara ng pinto lamang kapag ang bawat layer na nagbigay ng anuman sa device ay sinabihang itigil ang pagtanggap dito.

Ang praktikal na bitag ay hawak ng nawawalang makina ang pribadong kalahati ng bawat kredensyal, kaya wala sa ginagawa mo nang lokal ang nakakarating sa server.

WireGuard: alisin ang peer, dahil walang listahan ng pagbawi

Walang listahan ng pagbabawal ang WireGuard. Tinatanggap ng interface ang eksaktong mga pampublikong key na naka-configure bilang peer, kaya ang pagbawi ay pagbura: patakbuhin ang wg set wg0 peer <public-key> remove, ang anyong nakatala sa wg(8), pagkatapos burahin ang katumbas na bloke ng [Peer] mula sa wg0.conf. Gawin ang dalawa. Ang pag-alis na sa oras ng pagtakbo lamang ay tatagal hanggang sa susunod na reboot o muling pag-load ng configuration, kung kailan ibabalik ng file ang key.

Ang mga umiiral na sesyon ay hindi kailangan ng timer para mamatay. Ang pag-alis ng peer ay nagtatapon ng handshake at key material nito, kaya humihinto ang trapiko sa sandaling kailanganin muli ang wastong pares ng key. Suriin ang wg show wg0 latest-handshakes sa server: dapat mawala ang entry para sa nawalang key at manatiling wala, habang patuloy na nag-uulat ang ibang peer ng kamakailang epoch.

Mas mahalaga ang isang babala kaysa sa hitsura nito. Kung ang nawalang device ay nagbahagi ng key sa ibang device dahil may kumopya ng isang configuration file, ang pag-alis ng key na iyon ay dinidiskonekta silang lahat; tama pa rin ang hakbang, at pagkatapos ay maglalabas ka ng key sa bawat device sa halip na ibalik ang pinagsasaluhang key.

Sertipiko: binibilang ang CRL kung binabasa ito ng daemon

Ang pag-access na nakabatay sa sertipiko ay nagdadagdag ng hakbang na nilalaktawan ng mga tao. Minarkahan ng easyrsa revoke laptop-01 ang sertipiko bilang binawi sa database ng CA, ngunit wala itong natututuhan ang VPN mula sa database na iyon. Pagkatapos ay patakbuhin mo ang easyrsa gen-crl para isulat ang crl.pem, kopyahin ito sa path na nakasaad sa opsyon na crl-verify ng server, at kumpirmahin na ginagamit ng tumatakbong daemon ang bagong file. Ang pagbawi nang hindi muling bumubuo at namamahagi ng CRL ay walang epekto.

Ang timing ang ikalawang kalahati. Sinasangguni ang CRL kapag kumokonekta o muling nakikipagnegosasyon ang kliyente, kaya ang naitatag na tunnel ay maaaring magpatuloy sa pagpapasa hanggang noon. Kung kailangang putulin agad ang device, tapusin ang sesyong iyon nang tahasan sa pamamagitan ng management interface ng OpenVPN sa halip na hintayin ang susunod na handshake. Ang muling pag-load o pag-restart ng serbisyo, depende sa kung paano naglo-load ang deployment ng CRL, ay bahagi ng pagbabago at hindi opsyonal na dagdag.

Sulit na gawin ang pagpapatunay mula sa ibang makina: ipakita ang binawing sertipiko at asahan ang pagkabigo ng handshake, karaniwang VERIFY ERROR: depth=0, error=certificate revoked. Kung nagtagumpay pa rin ang koneksyon, ibang CRL ang binabasa ng kliyente kaysa sa in-update mo.

Mga account at sesyon: ang pag-disable ay hindi katulad ng pagtataboy

Ang pag-login sa direktoryo o sa SSO ay sinusuri sa oras ng pagpapatunay. Hinaharangan ng pag-disable ng account ang susunod na pag-login, ngunit ang refresh token at ang naitatag na tunnel ay maaaring magpatuloy hanggang sa mag-expire. Bawiin ang mga sesyon at token ng user na iyon, o itaas ang bersyon ng sesyon kung sinusuportahan ito ng identity provider. Alisin din ang nawalang device sa MFA enrollment, dahil ang nakarehistrong authenticator ay daan ng pag-access sa sarili nitong karapatan.

Ang mga VPN na nakabatay sa RADIUS ay maaaring magpadala ng mensahe ng disconnect o pagbabago ng awtorisasyon para ibagsak ang aktibong sesyon, ngunit hindi lahat ng network access server ay sumusunod dito. Kapag may pagdududa, tapusin ang sesyon ng user mula sa panig ng server at kumpirmahin sa mga log na nagsara ang lumang sesyon.

Pagkakasunod-sunod ng mga operasyon para sa susunod na oras

Magsimula sa imbentaryo, hindi sa kliyente: ilista ang bawat pagkakakilanlang nakatali sa device, maging peer key, serial number ng sertipiko o account. Bawiin sa bawat issuing system ayon sa pagkakasunod-sunod ng pagbuo ng koneksyon, ibig sabihin account muna, pagkatapos sertipiko, pagkatapos peer. Pagkatapos ay patunayan ang pagtanggi mula sa makinang kontrolado mo.

Dalawang follow-up ang madaling makalimutan. Una, paikutin ang lahat ng iba pang hawak ng device, lalo na ang mga SSH key, kredensyal ng cloud console at pinagsasaluhang pre-shared key ng WireGuard. Ikalawa, tiyakin na ang configuration management, snapshot o golden image ay hindi maibabalik ang tinanggal na kliyente sa susunod na muling pagbuo.

Ang matibay na solusyon ay isang pagkakakilanlan sa bawat device. Kapag ang bawat laptop ay may sariling peer key o sertipiko, ang pagkawala ay nagkakahalaga ng isang utos ng pagbawi at isang muling pag-isyu sa halip na muling pagbuo ng buong fleet.