Kayıp bir VPN cihazı nasıl iptal edilir: anahtar, sertifika veya hesap

Dizüstü bilgisayarınız kayboldu ve VPN onu hâlâ istemci olarak listeliyor. Acil soru, artık sahip olmadığınız bir makinede profili nasıl sileceğiniz değil, sunucunun hangi kimliği hâlâ kabul ettiğidir. WireGuard ortak anahtarı denetler, PKI tabanlı OpenVPN yapılandırma istemci sertifikasını denetler ve SSO kullanan bir VPN hesabı ve oturum belirtecini denetler. Bu üçü farklı yerlerde ve farklı hızlarda iptal edilir, birini düzeltip diğerlerini görmezden gelmek kayıp cihazın bağlı kalmasının yoludur.

Üç kimlik ve her birinin neyi denetlediği

Her mekanizma farklı bir soruyu yanıtlar. Eş anahtarı bunun kaydettiğiniz makine olup olmadığını yanıtlar. Sertifika, CA'nız tarafından imzalanıp imzalanmadığını ve iptal edilmediğini yanıtlar. Hesap, bu kişinin yeterince yakın zamanda kimlik doğrulayıp doğrulamadığını yanıtlar. İkisini katmanlayan bir kurulum, örneğin sertifika artı dizin oturumu açma, kapıyı ancak cihaza bir şey veren her katmana bunu kabul etmeyi bırakması söylendiğinde kapatır.

Pratik tuzak, eksik makinenin her kimlik bilgisinin özel yarısını elinde tutmasıdır, bu yüzden yerelde yaptığınız hiçbir şey sunucuya ulaşmaz.

WireGuard: eşi kaldırın, çünkü iptal listesi yoktur

WireGuard herhangi bir yasak listesi tutmaz. Arayüz tam olarak eş olarak yapılandırılmış ortak anahtarları kabul eder, bu yüzden iptal silmektir: wg set wg0 peer <public-key> remove komutunu çalıştırın, wg(8) içinde belgelenen biçim budur, ardından wg0.conf içinden eşleşen [Peer] bloğunu silin. İkisini de yapın. Yalnızca çalışma zamanında yapılan kaldırma, bir sonraki yeniden başlatmaya veya yapılandırma yeniden yüklemesine kadar dayanır; o anda dosya anahtarı geri koyar.

Mevcut oturumların ölmek için bir zamanlayıcıya ihtiyacı yoktur. Eşin kaldırılması el sıkışmasını ve anahtar malzemesini düşürür, böylece geçerli bir anahtar çifti yeniden gerektiğinde trafik durur. Sunucuda wg show wg0 latest-handshakes komutunu kontrol edin: kayıp anahtarın girdisi kaybolmalı ve kaybolmuş kalmalı, diğer eşler ise yeni dönemleri bildirmeye devam etmelidir.

Bir uyarı göründüğünden daha önemlidir. Kayıp cihaz, biri bir yapılandırma dosyasını kopyaladığı için diğer cihazlarla anahtar paylaştıysa, o anahtarın kaldırılması hepsinin bağlantısını keser; bu yine de doğru adımdır ve ardından paylaşılan anahtarı geri getirmek yerine her cihaz için ayrı anahtar verirsiniz.

Sertifikalar: bir CRL yalnızca arka plan programı onu okursa geçerlidir

Sertifika tabanlı erişim, insanların atladığı bir adım ekler. easyrsa revoke laptop-01 sertifikayı CA veritabanında iptal edilmiş olarak işaretler, ancak VPN bu veritabanından hiçbir şey öğrenmez. Ardından easyrsa gen-crl komutunu çalıştırıp crl.pem dosyasını yazarsınız, onu sunucunun crl-verify seçeneğinde belirtilen yola kopyalar ve çalışan arka plan programının yeni dosyayı kullandığını doğularsınız. CRL'yi yeniden üretmeden ve dağıtmadan iptal etmek etkisizdir.

Zamanlama diğer yarıdır. CRL, bir istemci bağlandığında veya yeniden müzakere ettiğinde sorgulanır, bu yüzden kurulmuş bir tünel o zamana kadar iletmeye devam edebilir. Cihazın hemen kesilmesi gerekiyorsa, bir sonraki el sıkışmayı beklemek yerine o oturumu OpenVPN yönetim arayüzü üzerinden açıkça sonlandırın. Hizmeti yeniden yüklemek veya yeniden başlatmak, kurulumun CRL'yi nasıl yüklediğine bağlı olarak, değişikliğin parçasıdır ve isteğe bağlı bir ek değildir.

Doğrulamayı başka bir makineden yapmakta fayda var: iptal edilen sertifikayı sunun ve el sıkışma hatası bekleyin, genellikle VERIFY ERROR: depth=0, error=certificate revoked. Bağlantı yine de başarılı olursa, istemci sizin güncellediğinizden farklı bir CRL okuyordur.

Hesaplar ve oturumlar: devre dışı bırakmak, dışarı atmakla aynı şey değildir

Dizin veya SSO oturum açmaları kimlik doğrulama anında denetlenir. Hesabı devre dışı bırakmak sonraki oturum açmayı engeller, ancak yenileme belirteci ve kurulmuş tünel süresi dolana kadar çalışmaya devam edebilir. O kullanıcının oturumlarını ve belirteçlerini iptal edin veya kimlik sağlayıcı destekliyorsa oturum sürümünü yükseltin. Kayıp cihazı MFA kaydından da çıkarın, çünkü kayıtlı bir kimlik doğrulayıcı kendi başına bir erişim yoludur.

RADIUS tabanlı VPN'ler etkin bir oturumu düşürmek için bir bağlantı kesme iletisi veya yetkilendirme değişikliği gönderebilir, ancak her ağ erişim sunucusu buna uymaz. Şüphedeyseniz, kullanıcının oturumunu sunucu tarafından sonlandırın ve günlüklerde eski oturumun kapandığını doğrulayın.

Önümüzdeki saat için işlem sırası

İstemciden değil envanterden başlayın: cihaza bağlı her kimliği listeleyin, ister eş anahtarı, ister sertifika seri numarası ya da hesap olsun. Her veren sistemde bağlantının kurulduğu sırayla iptal edin, yani önce hesap, sonra sertifika, sonra eş. Ardından kontrol ettiğiniz bir makineden reddi kanıtlayın.

İki takip adımı kolayca unutulur. Birincisi, cihazın elinde tuttuğu başka her şeyi döndürün, özellikle SSH anahtarlarını, bulut konsolu kimlik bilgilerini ve paylaşılan önceden paylaşılmış WireGuard anahtarını. İkincisi, yapılandırma yönetiminin, anlık görüntülerin veya altın imajların kaldırılan istemciyi bir sonraki yeniden oluşturmada geri getiremediğini doğrulayın.

Kalıcı çözüm, cihaz başına bir kimliktir. Her dizüstü kendi eş anahtarını veya sertifikasını taşıdığında, bir kayıp tüm filoyu yeniden oluşturmak yerine bir iptal komutuna ve bir yeniden düzenlemeye mal olur.