چگونه یک دستگاه VPN گم‌شده را باطل کنیم: کلید، گواهی یا حساب

لپ‌تاپ شما رفته است و VPN هنوز آن را به عنوان مشتری فهرست می‌کند. پرسش فوری این نیست که چگونه پروفایل را روی ماشینی که دیگر ندارید پاک کنید، بلکه این است که سرور کدام هویت را هنوز می‌پذیرد. WireGuard یک کلید عمومی را بررسی می‌کند، پیکربندی OpenVPN مبتنی بر PKI گواهی مشتری را بررسی می‌کند، و VPN مبتنی بر SSO حساب و توکن نشست آن را بررسی می‌کند. این سه در جاهای مختلف و با سرعت‌های مختلف باطل می‌شوند، و درست کردن یکی با نادیده گرفتن بقیه همان چیزی است که دستگاه گم‌شده را متصل نگه می‌دارد.

سه هویت و اینکه هر یک چه چیزی را کنترل می‌کند

هر سازوکار به پرسشی متفاوت پاسخ می‌دهد. کلید همتا پاسخ می‌دهد که آیا این همان ماشینی است که ثبت کرده‌اید. گواهی پاسخ می‌دهد که آیا CA شما آن را امضا کرده و باطل نشده است. حساب پاسخ می‌دهد که آیا این شخص به‌اندازه کافی اخیراً احراز هویت کرده است. استقرار دوسطحی، مثلاً گواهی به‌همراه ورود به دایرکتوری، تنها زمانی در را می‌بندد که به هر لایه‌ای که چیزی به دستگاه داده است گفته شود که دیگر آن را نپذیرد.

تله عملی این است که ماشین گم‌شده نیمه خصوصی هر مدرک را نگه می‌دارد، پس هیچ کاری که محلی انجام دهید به سرور نمی‌رسد.

WireGuard: همتا را حذف کنید، چون فهرست باطل‌سازی وجود ندارد

WireGuard هیچ فهرست مسدودسازی نگه نمی‌دارد. رابط دقیقاً همان کلیدهای عمومی‌ای را می‌پذیرد که به‌عنوان همتا پیکربندی شده‌اند، پس باطل‌سازی همان حذف است: wg set wg0 peer <public-key> remove را اجرا کنید، همان شکلی که در wg(8) مستند شده است، سپس بلوک [Peer] متناظر را از wg0.conf پاک کنید. هر دو کار را انجام دهید. حذفی که فقط در زمان اجرا انجام شود تا راه‌اندازی مجدد یا بارگذاری دوباره پیکربندی بعدی دوام می‌آورد، و آن‌گاه فایل کلید را برمی‌گرداند.

نشست‌های موجود برای مردن به زمان‌سنج نیاز ندارند. حذف همتا دست‌دادن و مواد کلید آن را دور می‌ریزد، پس به‌محض اینکه دوباره جفت‌کلید معتبر لازم شود ترافیک متوقف می‌شود. wg show wg0 latest-handshakes را روی سرور بررسی کنید: ورودی کلید گم‌شده باید ناپدید شود و ناپدید بماند، در حالی که همتاهای دیگر همچنان دوره‌های اخیر را گزارش می‌کنند.

یک هشدار مهم‌تر از آنچه به نظر می‌رسد هست. اگر دستگاه گم‌شده کلیدی را با دستگاه‌های دیگر به اشتراک می‌گذاشت چون کسی یک فایل پیکربندی را کپی کرده بود، حذف آن کلید همه را قطع می‌کند؛ این باز هم کار درست است، و پس از آن به‌جای بازگرداندن کلید مشترک، برای هر دستگاه جداگانه کلید صادر می‌کنید.

گواهی‌ها: فهرست باطل‌سازی فقط وقتی معتبر است که دیمن آن را بخواند

دسترسی مبتنی بر گواهی مرحله‌ای را اضافه می‌کند که مردم از آن رد می‌شوند. easyrsa revoke laptop-01 گواهی را در پایگاه داده CA باطل علامت می‌زند، اما VPN چیزی از آن پایگاه نمی‌آموزد. سپس easyrsa gen-crl را اجرا می‌کنید تا crl.pem را بنویسید، آن را به مسیری که در گزینه crl-verify سرور نام برده شده کپی می‌کنید و تأیید می‌کنید که دیمن در حال اجرا از فایل جدید استفاده می‌کند. باطل کردن بدون بازتولید و توزیع فهرست باطل‌سازی بی‌اثر است.

زمان‌بندی نیمه دوم است. فهرست باطل‌سازی وقتی مشتری متصل می‌شود یا دوباره مذاکره می‌کند بررسی می‌شود، پس تونل برقرار ممکن است تا آن زمان به ارسال ادامه دهد. اگر دستگاه باید فوراً قطع شود، آن نشست را صراحتاً از طریق رابط مدیریت OpenVPN خاتمه دهید نه اینکه منتظر دست‌دادن بعدی بمانید. بارگذاری مجدد یا راه‌اندازی مجدد سرویس، بسته به اینکه استقرار چگونه فهرست باطل‌سازی را بار می‌کند، بخشی از این تغییر است و نه یک افزوده اختیاری.

ارزش دارد که بررسی را از ماشین دیگری انجام دهید: گواهی باطل‌شده را ارائه دهید و انتظار شکست دست‌دادن را داشته باشید، معمولاً VERIFY ERROR: depth=0, error=certificate revoked. اگر اتصال هنوز موفق شود، مشتری فهرست باطل‌سازی متفاوتی از آنچه به‌روزرسانی کردید می‌خواند.

حساب‌ها و نشست‌ها: غیرفعال کردن با بیرون راندن یکی نیست

ورودهای دایرکتوری یا SSO در زمان احراز هویت بررسی می‌شوند. غیرفعال کردن حساب ورود بعدی را مسدود می‌کند، اما توکن تازه‌سازی و تونل برقرار ممکن است تا انقضای خود کار کنند. نشست‌ها و توکن‌های آن کاربر را باطل کنید، یا اگر ارائه‌دهنده هویت پشتیبانی می‌کند نسخه نشست را بالا ببرید. دستگاه گم‌شده را از ثبت MFA هم بردارید، چون یک احرازگر ثبت‌شده خودش یک مسیر دسترسی است.

VPNهای مبتنی بر RADIUS می‌توانند پیام قطع اتصال یا تغییر مجوز را برای انداختن یک نشست فعال بفرستند، اما هر سرور دسترسی شبکه‌ای به آن پایبند نیست. در صورت تردید، نشست کاربر را از سمت سرور پایان دهید و در گزارش‌ها تأیید کنید که نشست قدیمی بسته شده است.

ترتیب کارها برای یک ساعت آینده

از فهرست اموال شروع کنید، نه از مشتری: هر هویتی را که به دستگاه گره خورده فهرست کنید، چه کلید همتا، چه شماره سریال گواهی و چه حساب. در هر سامانه صادرکننده به ترتیبی که اتصال ساخته می‌شود باطل کنید، یعنی نخست حساب، سپس گواهی، سپس همتا. بعد امتناع را از ماشینی که کنترل می‌کنید اثبات کنید.

دو پیگیری آسان فراموش می‌شود. نخست، هر چیز دیگری که دستگاه داشته را بگردانید، به‌ویژه کلیدهای SSH، مدارک کنسول ابری و کلید از پیش اشتراکی WireGuard. دوم، بررسی کنید که مدیریت پیکربندی، عکس‌های فوری یا تصاویر طلایی نتوانند مشتری حذف‌شده را در بازسازی بعدی دوباره وارد کنند.

راه‌حل پایدار یک هویت برای هر دستگاه است. وقتی هر لپ‌تاپ کلید همتا یا گواهی خودش را دارد، یک گم شدن هزینه‌اش یک فرمان باطل‌سازی و یک صدور دوباره است، نه بازسازی کل ناوگان.