Bí a ṣe le fagilé ẹ̀rọ VPN tí ó sọnù: kọ́kọ́rọ́, ìwé-ẹ̀rí tàbí àkọsílẹ̀

Kọ̀mpútà àgbééká rẹ ti lọ, VPN sì ṣì ń tọ́ka rẹ̀ gẹ́gẹ́ bi aláàbò. Ìbéèrè kánjúkánjú kì í ṣe bí a ṣe lè pa profáìlì rẹ́ lórí ẹ̀rọ tí o kò ní mọ́, bí kò ṣe ìdánimọ̀ wo ni olùpèsè ṣì ń gbà. WireGuard ń yẹ̀wò kọ́kọ́rọ́ gbogbogbò, ètò OpenVPN tí ó dá lórí PKI ń yẹ̀wò ìwé-ẹ̀rí aláàbò, VPN tí ó lò SSO sì ń yẹ̀wò àkọsílẹ̀ àti tọ́kẹ̀n ìpàdé rẹ̀. Àwọn mẹ́tẹ̀ẹ̀ta wọ̀nyí ni a ń fagilé ní ibi ọ̀tọ̀ọ̀tọ̀ àti ní ìyára ọ̀tọ̀ọ̀tọ̀, àti ṣíṣe àtúnṣe ọ̀kan ní àìkíyèsí àwọn yòókù ni ọ̀nà tí ẹ̀rọ tí ó sọnù fi ń wà ní ìsopọ̀.

Ìdánimọ̀ mẹ́ta àti ohun tí ọ̀kọ̀ọ̀kan ń ṣàkóso

Ẹ̀rọ ìṣiṣẹ́ kọ̀ọ̀kan ń dá ìbéèrè ọ̀tọ̀ọ̀tọ̀ lóhùn. Kọ́kọ́rọ́ ẹlẹgbẹ́ ń dáhùn bóyá èyí ni ẹ̀rọ tí o forúkọsílẹ̀. Ìwé-ẹ̀rí ń dáhùn bóyá CA rẹ ló fi ọwọ́ sí i àti pé a kò fagilé rẹ̀. Àkọsílẹ̀ ń dáhùn bóyá ẹni yìí ti jẹ́rìí ara rẹ̀ ní àìpẹ́ tó. Ìgbékalẹ̀ tí ó kó méjì nínú wọn papọ̀, bí àpẹẹrẹ ìwé-ẹ̀rí pẹ̀lú ìwolé àkójọ, yóò ti ilẹ̀kùn nígbà tí a bá sọ fún gbogbo ìpele tí ó fún ẹ̀rọ ní nǹkan pé kí ó jáwọ́ gbígba rẹ̀.

Ìdẹkùn ìṣe ni pé ẹ̀rọ tí ó sọnù ń di ìdajì àṣírí ti gbogbo ẹ̀rí mú, nítorí náà ohunkóhun tí o ṣe níbílẹ̀ kò dé ọ̀dọ̀ olùpèsè.

WireGuard: yọ ẹlẹgbẹ́ kúrò, nítorí kò sí àkọsílẹ̀ fagilé

WireGuard kò ní àkọsílẹ̀ ìdènà kankan. Ojú-ọ̀nà náà ń gba àwọn kọ́kọ́rọ́ gbogbogbò tí a ṣètò gẹ́gẹ́ bi ẹlẹgbẹ́ gan-an, nítorí náà fagilé ni pípa: ṣe wg set wg0 peer <public-key> remove, irú ọ̀nà tí a kọ sínú wg(8), lẹ́yìn náà pa blọ́ọ̀kì [Peer] tí ó bá a mu kúrò nínú wg0.conf. Ṣe méjèèjì. Yíyọ ní àkókò ìṣiṣẹ́ nìkan yóò wà títí dé ìtúnbẹ̀rẹ̀ tàbí ìtúnkó ètò tí ó kàn, nígbà tí fáìlì yóò dá kọ́kọ́rọ́ padà.

Àwọn ìpàdé tí ó wà kò nílò aago láti kú. Yíyọ ẹlẹgbẹ́ ń sọnù ìfọwọ́sowọ́pọ̀ àti ohun èlò kọ́kọ́rọ́ rẹ̀, nítorí náà ìrìnàjò yóò dúró ní kété tí a bá tún nílò pẹ̀lẹ̀ kọ́kọ́rọ́ tí ó tọ́. Ṣàyẹ̀wò wg show wg0 latest-handshakes lórí olùpèsè: àkọsílẹ̀ kọ́kọ́rọ́ tí ó sọnù yẹ kí ó pòórá kí ó sì wà ní pòórá, nígbà tí àwọn ẹlẹgbẹ́ yòókù ń bá a lọ ní ìròyìn àwọn sáà àìpẹ́.

Ìkìlọ̀ kan ṣe pàtàkì ju bí ó ti dàbí lọ. Bí ẹ̀rọ tí ó sọnù bá pín kọ́kọ́rọ́ pẹ̀lú àwọn ẹ̀rọ mìíràn nítorí pé ẹnìkan ṣe àdàkọ fáìlì ètò kan, yíyọ kọ́kọ́rọ́ yẹn yóò já gbogbo wọn mọ́; ìgbésẹ̀ yẹn ṣì tọ́, lẹ́yìn náà kí o tún gbé kọ́kọ́rọ́ jáde fún ẹ̀rọ kọ̀ọ̀kan dípò dídá èyí tí a pín padà.

Ìwé-ẹ̀rí: CRL kì í ṣe iṣẹ́ àyàfi bí dẹ́mọ́nì bá kà á

Ìwọlé tí ó dá lórí ìwé-ẹ̀rí ń fi ìgbésẹ̀ kan kún tí àwọn ènìyàn ń fò. easyrsa revoke laptop-01 ń fi àmì sí ìwé-ẹ̀rí gẹ́gẹ́ bi ẹni tí a fagilé nínú àkójọ dátà CA, ṣùgbọ́n VPN kò kọ́ nǹkan kankan láti inú àkójọ yẹn. Lẹ́yìn náà kí o ṣe easyrsa gen-crl láti kọ crl.pem, kí o dà á sínú ipa ọ̀nà tí a dárúkọ nínú àṣàyàn crl-verify olùpèsè, kí o sì jẹ́rìí pé dẹ́mọ́nì tí ń ṣiṣẹ́ ń lò fáìlì tuntun. Fagilé láìtún dá àti láìpín CRL kò ní ipa.

Àkókò ni ìdajì kejì. A ń gbà CRL ní ìmọ̀ràn nígbà tí aláàbò bá so mọ́ tàbí tún ṣe ìdúnàádúrà, nítorí náà ọ̀nà abẹ́lẹ̀ tí a ti dá lè máa bá a lọ ní gbígbé jáde títí dé ìgbà yẹn. Bí a bá gbọ́dọ̀ gé ẹ̀rọ náà kúrò lẹ́sẹ̀kẹsẹ̀, parí ìpàdé yẹn ní gbangba nípasẹ̀ ojú-ọ̀nà ìṣàkóso OpenVPN dípò dídúró de ìfọwọ́sowọ́pọ̀ tí ó kàn. Ìtúnkó tàbí ìtúnbẹ̀rẹ̀ iṣẹ́ náà, ní ìbámu pẹ̀lú bí ìgbékalẹ̀ ṣe ń kó CRL, jẹ́ apá kan ìyípadà kì í ṣe àfikún àṣàyàn.

Ó yẹ kí a ṣe ìjẹ́rìí láti ẹ̀rọ mìíràn: gbé ìwé-ẹ̀rí tí a fagilé jáde kí o sì retí ìkùnà ìfọwọ́sowọ́pọ̀, ní gbogbo ìgbà VERIFY ERROR: depth=0, error=certificate revoked. Bí ìsopọ̀ bá ṣì ṣàṣeyọrí, aláàbò ń ka CRL mìíràn yàtọ̀ sí èyí tí o ṣe àtúnṣe.

Àwọn àkọsílẹ̀ àti ìpàdé: dídálẹ́ẹ̀kùn kì í ṣe bíbi wọn jáde

A ń yẹ̀wò ìwolé àkójọ tàbí SSO ní àkókò ìjẹ́rìí. Dídálẹ́ẹ̀kùn àkọsílẹ̀ ń dènà ìwolé tí ó kàn, ṣùgbọ́n tọ́kẹ̀n ìsọdọ̀tun àti ọ̀nà abẹ́lẹ̀ tí a ti dá lè máa ṣiṣẹ́ títí wọn yóò fi parí. Fagilé àwọn ìpàdé àti tọ́kẹ̀n olùlò yẹn, tàbí gbé ẹ̀yà ìpàdé sókè bí olùpèsè ìdánimọ̀ bá ṣe àtìlẹ́yìn. Yọ ẹ̀rọ tí ó sọnù kúrò nínú ìforúkọsílẹ̀ MFA pẹ̀lú, nítorí pé olùjẹ́rìí tí a forúkọsílẹ̀ jẹ́ ọ̀nà ìwọlé fúnra rẹ̀.

Àwọn VPN tí ó dá lórí RADIUS lè fi ìfiránṣẹ́ ìgé tàbí ìyípadà àṣẹ jáde láti wó ìpàdé tí ń ṣiṣẹ́, ṣùgbọ́n kì í ṣe gbogbo olùpèsè ìwọlé nẹ́tíwọ́kì ló ń bọ̀wọ̀ fún un. Nígbà tí o bá ṣiyèméjì, parí ìpàdé olùlò náà láti ẹ̀gbẹ́ olùpèsè kí o sì jẹ́rìí nínú àwọn àkọsílẹ̀ pé ìpàdé àtijọ́ ti dé.

Ìtò àwọn ìgbésẹ̀ fún wákàtí tí ń bọ̀

Bẹ̀rẹ̀ láti inú àkójọ ohun-ìní, kì í ṣe láti ọ̀dọ̀ aláàbò: kọ gbogbo ìdánimọ̀ tí ó so mọ́ ẹ̀rọ náà, yálà kọ́kọ́rọ́ ẹlẹgbẹ́, nọ́mbà ìtẹ̀léntẹ̀lé ìwé-ẹ̀rí tàbí àkọsílẹ̀. Fagilé ní gbogbo ẹ̀rọ tí ń gbé jáde ní ìtò tí a ń gbé ìsopọ̀ kalẹ̀, ìyẹn àkọsílẹ̀ kọ́kọ́, lẹ́yìn náà ìwé-ẹ̀rí, lẹ́yìn náà ẹlẹgbẹ́. Lẹ́yìn náà fi ìkọ̀ṣílẹ̀ hàn láti ẹ̀rọ tí o ń ṣàkóso.

Ìgbésẹ̀ ìtẹ̀lé méjì ni ó rọrùn láti gbàgbé. Lákọ̀ọ́kọ́, yí ohunkóhun mìíràn tí ẹ̀rọ náà ní padà, pàápàá kọ́kọ́rọ́ SSH, ẹ̀rí kọ́nsólì ojú-ọ̀run àti kọ́kọ́rọ́ WireGuard tí a ti pín ṣáájú. Lẹ́ẹ̀kejì, ṣàyẹ̀wò pé ìṣàkóso ètò, àwòrán ìkọ̀kọ̀ tàbí àwòrán wúrà kò lè mú aláàbò tí a yọ kúrò padà ní ìgbékalẹ̀ tí ó kàn.

Òjútòó ṣíṣe tí ó dúró pẹ́ ni ìdánimọ̀ kan fún ẹ̀rọ kọ̀ọ̀kan. Nígbà tí kọ̀mpútà àgbééká kọ̀ọ̀kan bá gbé kọ́kọ́rọ́ ẹlẹgbẹ́ tàbí ìwé-ẹ̀rí tirẹ̀, pípàdánù yóò ná ìgbésẹ̀ fagilé kan àti ìgbéjáde tuntun kan dípò ìgbékalẹ̀ gbogbo ẹgbẹ́-ogun náà.