Một danh tính VPN cho mỗi thiết bị: vì sao chia sẻ làm hỏng việc thu hồi

Một hồ sơ được sao chép sang máy tính xách tay, điện thoại và máy tính bảng hoạt động tốt cho đến khi một trong số chúng bị mất. Lúc đó, lựa chọn là ngắt mọi thiết bị đang chia sẻ danh tính hoặc để quyền truy cập không mong muốn nằm nguyên tại chỗ. Cả hai đều tệ hơn mười phút cần để cấp ba danh tính. Cơ chế không phức tạp: một peer VPN là một bản ghi cấp quyền, và một bản ghi cho mỗi thiết bị chính là thứ biến việc thu hồi thành một thao tác chính xác duy nhất.

Hồ sơ chia sẻ chia sẻ những gì

Sao chép một khóa riêng là sao chép toàn bộ cấp quyền: mục peer, địa chỉ đường hầm và mọi tuyến cùng chính sách gắn với nó. Máy chủ không thể phân biệt các bản sao, vì giao thức nhận diện peer bằng khóa chứ không bằng thiết bị. Mỗi dòng nhật ký, mỗi giới hạn và mỗi quyết định thu hồi đều áp dụng cho cả nhóm. Vì vậy hồ sơ chia sẻ không phải là sự tiện lợi với chi phí bảo mật nhỏ, nó là một điểm hỏng duy nhất với nhiều thiết bị bám vào.

Cùng logic đó áp dụng cho một tài khoản chia sẻ chỉ giữ một chứng chỉ.

Cấp phát theo mô hình danh tính bạn đang có

Một triển khai WireGuard có thể cấp quyền cho các khóa peer riêng biệt, mỗi thiết bị một khóa. Một triển khai dựa trên chứng chỉ có thể phát hành chứng chỉ máy khách riêng lẻ từ cơ quan của chính nó. Một hệ thống tài khoản có thể kết hợp người dùng với các bản ghi thiết bị riêng, tùy sản phẩm. Hãy dùng quy trình đăng ký mà nhà vận hành hỗ trợ, vì việc tạo một bí mật cục bộ mới không làm gì cho đến khi peer hoặc cổng nhận ra cấp quyền tương ứng.

Con đường được hỗ trợ cũng là con đường sống sót qua lần nâng cấp tiếp theo.

Bản kiểm kê không có bí mật

Giữ nhãn thiết bị, định danh công khai và chủ sở hữu trong một bản kiểm kê mà bạn có thể tìm kiếm. Đừng sao chép khóa riêng vào bản kiểm kê đó, vì nó biến danh sách tài sản thành kho thông tin xác thực.

Một dòng ghi “Máy tính xách tay của Ana, khóa công khai của peer, cấp ngày 12 tháng Ba” là đủ để hành động.

Thu hồi là một quy trình, không phải một nút bấm

Ghi lại cách vô hiệu hóa đúng một thiết bị và liệu một phiên đang hoạt động có cần bước kết thúc riêng hay không. Kiểm tra tính bền vững, để việc khởi động lại hoặc một bản sao cấu hình cũ không đưa cấp quyền trở lại. Xác nhận việc thu hồi có hiệu lực bằng cách thử kết nối từ thiết bị đã bị thu hồi. Sau đó kiểm tra xem có thứ gì khác tham chiếu đến danh tính đó không, chẳng hạn đầu dò giám sát hoặc tuyến chia sẻ.

Bước mà người ta bỏ qua là bước cuối cùng, và đó là bước duy nhất chứng minh thay đổi.

Thứ tự thay thế

Cấp thiết bị mới trước, xác minh nó với tài nguyên nó cần, rồi cho thiết bị cũ nghỉ. Ngoại lệ là phơi nhiễm: nếu thiết bị cũ có thể nằm trong tay người khác, hãy thu hồi nó trước và chấp nhận gián đoạn.

Dù thế nào, hãy xem lại các bản xuất đã lưu trên phần cứng đã nghỉ trước khi nó rời khỏi tòa nhà.

Danh tính riêng mang lại gì

Ba điều, và mỗi điều xuất hiện trong một sự cố:

• Thu hồi một thiết bị mà không đụng đến các thiết bị khác.
• Quy kết một kết nối cho thiết bị, không phải cho nhóm.
• Giải thích sự cố mà không thu thập hoạt động của mọi người.

Hướng dẫn của nhà vận hành là thẩm quyền cho mô hình cấp phát của chính họ, dù là khóa theo từng peer như trong khởi động nhanh WireGuard hay chứng chỉ riêng lẻ từ một cơ quan nội bộ. Các bản ghi riêng biệt chính là khác biệt giữa một đội thiết bị bạn có thể suy luận và một đội chỉ có thể đặt lại.