Sizib chiqqan VPN kalitini almashtirish: server nima qilishi kerak

Mijoz kaliti bo'lgan noutbuk yo'qoldi va birinchi qadam odatda mahalliy nusxani o'chirishdir. Bu serverda hech narsani o'zgartirmaydi; server o'sha kalitni qabul qiladigan ruxsatni kimdir olib tashlamaguncha saqlab turadi. Almashtirish ikki amal, va faqat ikkinchisi eski hisob ma'lumotlariga tegishli.

Mahalliy nusxa hokimiyat emas

VPN hisob ma'lumoti server tomonidagi konfiguratsiya shunday degani uchun qabul qilinadi. Sertifikatlar uchun bu sertifikat ishonchli emitentga zanjirlanadi va shlyuz tekshiradigan bekor qilish ro'yxatida ko'rinmaydi degani. WireGuard uchun bu sherikning ochiq kaliti interfeys konfiguratsiyasida ko'rinadi degani. Mijozda faylni o'chirish sirning bitta nusxasini olib tashlaydi va qabul qilish qoidasini tegmasdan qoldiradi.

Shuning uchun o'g'irlangan kalit ko'zga tashlanadigan tozalashdan keyin ham ishlaydi, va shuning uchun yangi konfiguratsiya o'rnatilgandan keyin ham hodisa hal qilinmagandek tuyuladi.

Server qoidasidan boshlang, so'ng tashqariga, mijoz tomon yuring.

Sertifikatlar: qaror serverda

Yangi shaxs qayd etilishi uchun almashtirishni emitentning o'z jarayoni orqali chiqaring, so'ng eskisini imzolangan bekor qilish bilan qaytarib oling. Shlyuz o'sha bekor qilish manbasini tekshirishga sozlangan bo'lishi va uni qayta yuklashi kerak, aks holda fayl diskda qoladi va tunnel eski seriya raqamini qabul qilishda davom etadi. Faol sessiyalar qayta muzokaralargacha ham yashashi mumkin, shuning uchun qayta ulanishni rejalashtiring.

Almashtirish mo'ljallangan dastur uchun ishlashini tasdiqlang, so'ng tasdiqlangan jarayon orqali iste'foga chiqarilgan sertifikat endi kirish o'rnatmasligini tasdiqlang.

Bu ikki xil sinov va ikkalasi ham zarur. RFC 5280 shlyuz tayanadigan sertifikat va bekor qilish semantikasini belgilaydi.

WireGuard: sherik kaliti — shaxs

WireGuardda sertifikat qatlami yo'q: sherikning ochiq kaliti shaxs, serverning allowed-ips yozuvi esa ruxsatdir. Eski sherikni interfeys konfiguratsiyasidan olib tashlash bekor qilishning o'zi va yangi qo'l siqishlarga darhol taalluqli.

Mavjud sessiyalar keyingi qo'l siqish muvaffaqiyatsiz bo'lganda tugaydi, bu odatda darhol emas, bir necha daqiqa ichida sodir bo'ladi.

Yangi konfiguratsiyani parolni ishonib topshiradigan kanal orqali tarqating, chunki shaxsiy kalit hisob ma'lumotidir. Har qurilmaga bitta kalit saqlang, shunda bitta yo'qolgan qurilma barcha qurilmalarni almashtirishga majburlamaydi.

O'sha paketda yana nima bor edi

Mijoz paketi ko'pincha shaxsiy kalitdan ko'proq narsani olib yuradi: statik TLS kaliti, foydalanuvchi nomi va parol, oldindan bo'lishilgan sir yoki tayyorlash tokeni. Hodisani haqiqatan oshkor bo'lgan narsa bilan cheklang va o'sha elementlarni ham almashtiring. Sertifikatni almashtirib, umumiy statik kalitni joyida qoldirish bir eshikni yopib, boshqasini ochiq qoldiradi.

Agar paket qurilmalar o'rtasida umumiy bo'lsa, uni olib yurgan har bir qurilma o'sha oshkorlikni meros oladi.

Nima almashtirilganini yozib qo'ying, chunki keyingi audit so'raydi.

Rad etishni isbotlang, so'ng almashtirishni qayd eting

Almashtirish ikki fakt bajarilganda tugallanadi: yangi shaxs mo'ljallangan xizmat uchun ishlaydi, eskisi rad etiladi. Ikkinchisini iste'foga chiqarilgan hisob ma'lumoti bilan sinov muhitidan yoki tashkilot tasdiqlagan nazoratli urinish bilan tekshiring, va rad etish siyosatdan kelganini, terish xatosidan emasligini tasdiqlash uchun shlyuz jurnallarini o'qing. So'ng eski identifikatorni, yangisini va o'zgarish vaqtini qayd eting, chunki auditor aynan shu uch qiymatni qayta tiklash uchun kerak qiladi. Chiptadagi boshqa hech narsa bu bo'shliqni tushuntirmaydi.

Shaxsiy kalitlarni chiptalar va suhbatlardan uzoqda saqlang, va siyosatga muvofiq saqlash hamda zaxira nusxalardan eskirgan eksportlarni olib tashlang.

Rad etish sinovisiz almashtirish taxmin, tuzatish emas.