Yo'qolgan VPN qurilmasini bekor qilish: kalit, sertifikat yoki hisob

Noutbuingiz yo'qoldi, VPN esa uni hanuz mijoz sifatida ko'rsatadi. Shoshilinch savol endi sizda bo'lmagan mashinada profilni qanday o'chirish emas, balki server qaysi shaxsni hali qabul qilishidir. WireGuard ochiq kalitni tekshiradi, PKI asosidagi OpenVPN sozlama mijoz sertifikatini tekshiradi, SSO bilan ishlaydigan VPN esa hisob va uning sessiya tokenini tekshiradi. Bu uchtasi turli joylarda va turli tezlikda bekor qilinadi, birini tuzatib boshqalarni e'tiborsiz qoldirish esa yo'qolgan qurilmaning ulangan holda qolish yo'lidir.

Uchta shaxs va har biri nimani boshqaradi

Har bir mexanizm boshqa savolga javob beradi. Hamkor kaliti bu siz ro'yxatdan o'tkazgan mashina ekanini javob beradi. Sertifikat u sizning CA tomonidan imzolanganini va bekor qilinmaganini javob beradi. Hisob bu odam yetarlicha yaqinda autentifikatsiyadan o'tganini javob beradi. Ikkitasini qatlamlaydigan joylashtirish, masalan sertifikat va katalogga kirish, eshikni faqat qurilmaga biror narsa bergan har bir qatlamga uni qabul qilishni to'xtatish aytilganda yopadi.

Amaliy tuzoq shundaki, yo'qolgan mashina har bir ishonchnomaning maxfiy yarmini saqlaydi, shuning uchun mahalliy qilganingiz serverga yetib bormaydi.

WireGuard: hamkorni olib tashlang, chunki bekor qilish ro'yxati yo'q

WireGuard hech qanday taqiq ro'yxatini yuritmaydi. Interfeys hamkor sifatida sozlangan ochiq kalitlarni aniq qabul qiladi, shuning uchun bekor qilish o'chirishdir: wg set wg0 peer <public-key> remove ni ishga tushiring, bu shakl wg(8) da hujjatlashtirilgan, so'ng wg0.conf dan mos keladigan [Peer] blokini o'chiring. Ikkalasini ham qiling. Faqat ishlash vaqtida olib tashlash keyingi qayta yuklash yoki konfiguratsiyani qayta yuklashgacha davom etadi, o'shanda fayl kalitni qaytaradi.

Mavjud seanslar o'lish uchun taymer kerak emas. Hamkorni olib tashlash uning qo'l siqishini va kalit materialini tashlaydi, shuning uchun amaldagi kalit juftligi yana kerak bo'lishi bilan trafik to'xtaydi. Serverda wg show wg0 latest-handshakes ni tekshiring: yo'qolgan kalitning yozuvi yo'qolishi va yo'qolgan holda qolishi kerak, boshqa hamkorlar esa yaqin davrlarni xabar qilishda davom etadi.

Bitta ogohlantirish ko'rinadiganidan muhimroq. Agar yo'qolgan qurilma kimdir bitta konfiguratsiya faylini nusxalagani uchun boshqa qurilmalar bilan kalitni bo'lishgan bo'lsa, bu kalitni olib tashlash ularning barchasini uziydi; bu baribir to'g'ri qadam, keyin esa umumiy kalitni tiklash o'rniga har bir qurilma uchun alohida kalit chiqarasiz.

Sertifikatlar: CRL faqat demon uni o'qisa hisoblanadi

Sertifikatga asoslangan kirish odamlar o'tkazib yuboradigan bir qadamni qo'shadi. easyrsa revoke laptop-01 CA bazasida sertifikatni bekor qilingan deb belgilaydi, ammo VPN bu bazadan hech narsa o'rganmaydi. Keyin siz easyrsa gen-crl ni ishga tushirib crl.pem ni yozasiz, uni serverning crl-verify parametrida ko'rsatilgan yo'lga nusxalaysiz va ishlab turgan demon yangi fayldan foydalanayotganini tasdiqlaysiz. CRLni qayta yaratmasdan va tarqatmasdan bekor qilish samarasiz.

Vaqt ikkinchi yarmi. CRL mijoz ulanganda yoki qayta muzokara qilganda tekshiriladi, shuning uchun o'rnatilgan tunnel shu vaqtgacha uzatishda davom etishi mumkin. Agar qurilmani darhol uzish kerak bo'lsa, keyingi qo'l siqishni kutish o'rniga OpenVPN boshqaruv interfeysi orqali o'sha seansni aniq tugating. Xizmatni qayta yuklash yoki qayta ishga tushirish, joylashtirish CRLni qanday yuklashiga qarab, o'zgarishning bir qismi, majburiy bo'lmagan qo'shimcha emas.

Tekshirishni boshqa mashinadan qilish arziydi: bekor qilingan sertifikatni taqdim eting va qo'l siqish xatosini kuting, odatda VERIFY ERROR: depth=0, error=certificate revoked. Agar ulanish baribir muvaffaqiyatli bo'lsa, mijoz siz yangilagandan boshqa CRLni o'qiyapti.

Hisoblar va seanslar: o'chirib qo'yish quvib chiqarish emas

Katalog yoki SSO orqali kirishlar autentifikatsiya vaqtida tekshiriladi. Hisobni o'chirib qo'yish keyingi kirishni to'sadi, ammo yangilash tokeni va o'rnatilgan tunnel muddati tugaguncha ishlashda davom etishi mumkin. O'sha foydalanuvchining seanslari va tokenlarini bekor qiling yoki shaxs provayderi qo'llasa seans versiyasini oshiring. Yo'qolgan qurilmani MFA ro'yxatidan ham olib tashlang, chunki ro'yxatga olingan autentifikator o'zi kirish yo'lidir.

RADIUS asosidagi VPNlar faol seansni tushirish uchun uzilish xabari yoki ruxsat o'zgarishini yuborishi mumkin, ammo har bir tarmoq kirish serveri bunga rioya qilmaydi. Shubha bo'lsa, foydalanuvchi seansini server tomondan tugating va jurnallarda eski seans yopilganini tasdiqlang.

Keyingi soat uchun harakatlar tartibi

Mijozdan emas, inventardan boshlang: qurilmaga bog'liq har bir shaxsni sanab chiqing, hamkor kaliti, sertifikat seriyasi yoki hisob bo'lsin. Ulanish quriladigan tartibda har bir chiqaruvchi tizimda bekor qiling, ya'ni avval hisob, keyin sertifikat, keyin hamkor. So'ng o'zingiz boshqaradigan mashinadan rad etishni isbotlang.

Ikki keyingi harakatni unutish oson. Birinchidan, qurilma saqlagan boshqa hamma narsani almashtiring, ayniqsa SSH kalitlarini, bulut konsoli ishonchnomalarini va umumiy WireGuard oldindan bo'lingan kalitini. Ikkinchidan, konfiguratsiyani boshqarish, snapshotlar yoki oltin obrazlar keyingi qayta qurishda olib tashlangan mijozni qaytara olmasligini tekshiring.

Barqaror yechim har bir qurilma uchun bitta shaxs. Har bir noutbuk o'z hamkor kaliti yoki sertifikatini olib yursa, yo'qotish butun flotni qayta qurish o'rniga bitta bekor qilish buyrug'i va bitta qayta chiqarishga tushadi.