كيفية إلغاء جهاز VPN مفقود: المفتاح أو الشهادة أو الحساب

اختفى حاسوبك المحمول، وما زال الـVPN يدرجه كعميل. السؤال العاجل ليس كيف تحذف ملف التعريف من جهاز لم يعد لديك، بل أي هوية ما زال الخادم يقبلها. يفحص WireGuard مفتاحًا عامًا، ويفحص إعداد OpenVPN القائم على PKI شهادة عميل، ويفحص الـVPN الذي يعتمد على تسجيل الدخول الموحّد حسابًا ورمز جلسته. تُلغى هذه الهويات الثلاث في أماكن مختلفة وبسرعات مختلفة، وإصلاح واحدة مع تجاهل الأخريات هو ما يبقي الجهاز المفقود متصلًا.

ثلاث هويات وما تحكمه كل واحدة

كل آلية تجيب عن سؤال مختلف. مفتاح النظير يجيب عما إذا كان هذا هو الجهاز الذي سجّلته. الشهادة تجيب عما إذا كانت موقّعة من سلطة الشهادات الخاصة بك ولم تُلغَ. الحساب يجيب عما إذا كان هذا الشخص قد أثبت هويته مؤخرًا بما يكفي. والنشر الذي يضع طبقتين منهما، الشهادة مع تسجيل الدخول إلى الدليل مثلًا، لا يغلق الباب إلا عندما يُبلَّغ كل طرف منح الجهاز شيئًا بالتوقف عن قبوله.

الفخ العملي هو أن الجهاز المفقود يحمل النصف الخاص من كل وثيقة، لذا لا شيء تفعله محليًا يصل إلى الخادم.

WireGuard: احذف النظير، لأنه لا توجد قائمة إلغاء

لا يحتفظ WireGuard بأي قائمة منع. تقبل الواجهة بالضبط المفاتيح العامة المهيأة كنظراء، لذا فالإلغاء هو الحذف: نفّذ wg set wg0 peer <public-key> remove، وهو الشكل الموثق في wg(8)، ثم احذف كتلة [Peer] المطابقة من wg0.conf. افعل الاثنين معًا. الإزالة في زمن التشغيل فقط تبقى حتى إعادة التشغيل التالية أو إعادة تحميل الإعداد، وعندها يعيد الملف المفتاح.

لا تحتاج الجلسات القائمة إلى مؤقت لتموت. إزالة النظير تُسقط المصافحة ومواد المفاتيح، فيتوقف المرور بمجرد الحاجة إلى زوج مفاتيح صالح مرة أخرى. تحقق من wg show wg0 latest-handshakes على الخادم: من المفترض أن يختفي مدخل المفتاح المفقود ويبقى مختفيًا، بينما يستمر بقية النظراء في الإبلاغ عن حقب حديثة.

تحذير واحد أهم مما يبدو. إذا كان الجهاز المفقود يتشارك مفتاحًا مع أجهزة أخرى لأن أحدهم نسخ ملف إعداد واحد، فإن إزالة ذلك المفتاح تفصلها كلها؛ وهذا يبقى التصرف الصحيح، وتعيد إصدار مفاتيح لكل جهاز بعده بدلًا من استعادة المفتاح المشترك.

الشهادات: لا تُحتسب قائمة الإلغاء إلا إذا قرأها الخادم

الوصول القائم على الشهادات يضيف خطوة يتجاوزها الناس. easyrsa revoke laptop-01 يعلّم الشهادة ملغاة في قاعدة بيانات سلطة الشهادات، لكن الـVPN لا يتعلم شيئًا من تلك القاعدة. بعد ذلك تنفّذ easyrsa gen-crl لكتابة crl.pem، وتنسخه إلى المسار المذكور في خيار crl-verify على الخادم، وتتأكد من أن الخادم العامل يستخدم الملف الجديد. الإلغاء دون إعادة توليد قائمة الإلغاء وتوزيعها عمل بلا أثر.

التوقيت هو النصف الثاني. تُستشار قائمة الإلغاء عند اتصال العميل أو إعادة تفاوضه، لذا يمكن للنفق القائم أن يواصل التمرير حتى ذلك الحين. إذا وجب قطع الجهاز فورًا، فأنهِ تلك الجلسة صراحةً عبر واجهة إدارة OpenVPN بدلًا من انتظار المصافحة التالية. إعادة تحميل الخدمة أو إعادة تشغيلها، حسب طريقة تحميل النشر لقائمة الإلغاء، جزء من التغيير وليست إضافة اختيارية.

يستحق التحقق أن يُجرى من جهاز آخر: قدّم الشهادة الملغاة وتوقّع فشل المصافحة، عادةً VERIFY ERROR: depth=0, error=certificate revoked. إذا نجح الاتصال رغم ذلك، فالعميل يقرأ قائمة إلغاء مختلفة عن التي حدّثتها.

الحسابات والجلسات: التعطيل ليس طردًا

تُفحص عمليات الدخول إلى الدليل أو الدخول الموحّد وقت المصادقة. تعطيل الحساب يمنع الدخول التالي، لكن رمز التجديد والنفق القائم قد يستمران في العمل حتى انتهاء صلاحيتهما. ألغِ جلسات ذلك المستخدم ورموزه، أو ارفع رقم إصدار الجلسة إن كان مزوّد الهوية يدعم ذلك. وأزل الجهاز المفقود من تسجيل المصادقة متعددة العوامل أيضًا، لأن أداة مصادقة مسجّلة هي مسار وصول بحد ذاتها.

يمكن لشبكات VPN المدعومة بـRADIUS أن تدفع رسالة قطع اتصال أو تغيير تصريح لإسقاط جلسة نشطة، لكن ليس كل خادم وصول شبكي يلتزم بذلك. عند الشك، أنهِ جلسة المستخدم من جهة الخادم وتأكد في السجلات من إغلاق الجلسة القديمة.

ترتيب العمليات للساعة القادمة

ابدأ من الجرد، لا من العميل: اسرد كل هوية مرتبطة بالجهاز، سواء كانت مفتاح نظير أو رقم شهادة تسلسلي أو حسابًا. ألغِ في كل نظام مُصدر بالترتيب الذي يُبنى به الاتصال، أي الحساب أولًا ثم الشهادة ثم النظير. ثم أثبت الرفض من جهاز تتحكم فيه.

من السهل نسيان متابعتين. أولًا، بدّل أي شيء آخر كان الجهاز يحمله، خصوصًا مفاتيح SSH وبيانات وحدة تحكم السحابة ومفتاح WireGuard المشترك المسبق. ثانيًا، تحقق من أن إدارة الإعداد أو اللقطات أو الصور الذهبية لا تستطيع إعادة العميل المحذوف عند إعادة البناء التالية.

الإصلاح الدائم هو هوية واحدة لكل جهاز. عندما يحمل كل حاسوب مفتاح نظيره أو شهادته الخاصة، تكلفة الفقدان أمر إلغاء واحد وإعادة إصدار بدلًا من إعادة بناء الأسطول كله.