Одна особистість VPN на пристрій: чому спільний доступ ламає видалення

Один профіль, скопійований на ноутбук, телефон і планшет, працює добре, доки один із них не загубиться. У цей момент вибір — перервати кожен пристрій, що використовує цю особистість, або залишити небажаний доступ на місці. Обидва варіанти гірші за ті десять хвилин, які знадобилися б на видачу трьох особистостей. Механізм не складний: вузол VPN — це запис авторизації, і один запис на пристрій перетворює видалення на одну точну дію.

Що спільного має спільний профіль

Копіювання приватного ключа копіює всю авторизацію: запис вузла, адресу тунелю та всі прив’язані до неї маршрути й політики. Сервер не може розрізнити копії, бо протокол визначає вузол за ключем, а не за пристроєм. Кожен рядок журналу, кожен ліміт і кожне рішення про відкликання стосуються групи. Тож спільний профіль — не зручність із невеликою платою за безпеку, а єдина точка відмови, до якої прив’язано кілька пристроїв.

Та сама логіка діє для спільного облікового запису з одним сертифікатом.

Забезпечуйте через ту модель особистості, яка у вас є

Розгортання WireGuard може авторизувати окремі ключі вузлів, по одному на пристрій. Розгортання на основі сертифікатів може видавати окремі клієнтські сертифікати з власного центру. Система облікових записів може поєднувати користувача з окремими записами пристроїв, залежно від продукту. Використовуйте підтримуваний оператором процес реєстрації, бо створення нового локального секрету нічого не дає, доки вузол або шлюз не визнають відповідну авторизацію.

Підтримуваний шлях — це і той, який переживе наступне оновлення.

Облік без секретів

Тримайте позначку пристрою, публічний ідентифікатор і власника в обліку, за яким можна шукати. Не копіюйте туди приватні ключі, бо це перетворює перелік активів на сховище облікових даних.

Рядка «Ноутбук Ани, публічний ключ вузла, видано 12 березня» достатньо, щоб діяти.

Видалення — це процедура, а не кнопка

Запишіть, як вимкнути рівно один пристрій і чи потрібен активній сесії окремий крок завершення. Перевірте стійкість, щоб перезапуск або стара резервна копія конфігурації не повернули авторизацію. Підтвердьте, що видалення спрацювало, спробувавши підключитися з видаленого пристрою. Потім перевірте, чи не посилалося на цю особистість щось інше, наприклад зонд моніторингу або спільний маршрут.

Крок, який люди пропускають, — останній, і лише він доводить зміну.

Порядок заміни

Спочатку видайте новий пристрій, перевірте його щодо потрібного йому ресурсу, потім виведіть з експлуатації старий. Виняток — компрометація: якщо старий пристрій може бути в чужих руках, видаліть його першим і прийміть перерву.

У будь-якому разі перегляньте збережені експорти на виведеному обладнанні, перш ніж воно залишить будівлю.

Що дають окремі особистості

Три речі, і кожна проявляється під час інциденту:

• Відкликати один пристрій, не торкаючись інших.
• Прив’язати з’єднання до пристрою, а не до групи.
• Пояснити збій, не збираючи активність усіх.

Настанови оператора — це авторитет для його власної моделі надання, чи то ключі на вузол, як у швидкому старті WireGuard, чи окремі сертифікати локального центру. Окремі записи — це різниця між парком, про який можна міркувати, і парком, який можна лише скинути.