ખોવાયેલું VPN ઉપકરણ કેવી રીતે રદ કરવું: કી, પ્રમાણપત્ર કે ખાતું

તમારું લેપટોપ ગયું છે, અને VPN હજી પણ તેને ક્લાયન્ટ તરીકે સૂચિબદ્ધ કરે છે. તાત્કાલિક પ્રશ્ન એ નથી કે જે મશીન તમારી પાસે હવે નથી તેના પર પ્રોફાઇલ કેવી રીતે ડિલીટ કરવું, પણ એ છે કે સર્વર હજી કઈ ઓળખ સ્વીકારે છે. WireGuard જાહેર કી ચકાસે છે, PKI-આધારિત OpenVPN સેટઅપ ક્લાયન્ટ પ્રમાણપત્ર ચકાસે છે, અને SSO-આધારિત VPN ખાતું તથા તેનું સત્ર ટોકન ચકાસે છે. આ ત્રણેય જુદી જગ્યાએ અને જુદી ઝડપે રદ થાય છે, અને એકને સુધારીને બાકીનાને અવગણવો એ જ ખોવાયેલું ઉપકરણ જોડાયેલું રહેવાનો રસ્તો છે.

ત્રણ ઓળખ અને દરેક શું નિયંત્રિત કરે છે

દરેક મેકેનિઝમ અલગ પ્રશ્નનો જવાબ આપે છે. પીઅર કી જવાબ આપે છે કે આ એ જ મશીન છે જે તમે નોંધાવ્યું. પ્રમાણપત્ર જવાબ આપે છે કે તે તમારા CA દ્વારા સહી કરાયું છે અને રદ કરાયું નથી. ખાતું જવાબ આપે છે કે આ વ્યક્તિએ પર્યાપ્ત તાજેતરમાં પ્રમાણીકરણ કર્યું છે. બે સ્તરોને એકબીજા પર મૂકતી જમાવટ, જેમ કે પ્રમાણપત્ર સાથે ડિરેક્ટરી લોગિન, દરવાજો ત્યારે જ બંધ કરે છે જ્યારે ઉપકરણને કંઈક આપનારા દરેક સ્તરને તેને સ્વીકારવાનું બંધ કરવા કહેવામાં આવે.

વ્યવહારુ છટકું એ છે કે ગુમ થયેલું મશીન દરેક પ્રમાણપત્રનો ખાનગી અડધો ભાગ રાખે છે, તેથી તમે સ્થાનિક રીતે જે કંઈ કરો તે સર્વર સુધી પહોંચતું નથી.

WireGuard: પીઅર દૂર કરો, કારણ કે કોઈ રદ કરવાની સૂચિ નથી

WireGuard કોઈ પ્રતિબંધ સૂચિ રાખતું નથી. ઇન્ટરફેસ બરાબર એ જ જાહેર કી સ્વીકારે છે જે પીઅર તરીકે ગોઠવાયેલી છે, તેથી રદ કરવું એ ડિલીટ કરવું છે: wg set wg0 peer <public-key> remove ચલાવો, જે સ્વરૂપ wg(8)-માં દસ્તાવેજીકૃત છે, પછી wg0.conf માંથી મેળ ખાતો [Peer] બ્લોક ડિલીટ કરો. બંને કરો. ફક્ત રનટાઇમમાં દૂર કરવું આગલા રીબૂટ કે કોન્ફિગ ફરી લોડ થવા સુધી ટકે છે, ત્યારે ફાઇલ કી પાછી મૂકે છે.

હાલના સત્રોને મરવા માટે ટાઇમરની જરૂર નથી. પીઅર દૂર કરવાથી તેનું હેન્ડશેક અને કી સામગ્રી નીકળી જાય છે, તેથી માન્ય કી-જોડી ફરી જરૂરી થતાં જ ટ્રાફિક અટકે છે. સર્વર પર wg show wg0 latest-handshakes તપાસો: ખોવાયેલી કીની એન્ટ્રી અદૃશ્ય થવી જોઈએ અને અદૃશ્ય જ રહેવી જોઈએ, જ્યારે બાકીના પીઅર્સ તાજેતરના યુગ જણાવતા રહે છે.

એક ચેતવણી દેખાય તેના કરતાં વધુ મહત્ત્વની છે. જો ખોવાયેલું ઉપકરણ બીજા ઉપકરણો સાથે કી શેર કરતું હતું કારણ કે કોઈએ એક કોન્ફિગ ફાઇલ કોપી કરી હતી, તો તે કી દૂર કરવાથી તે બધા ડિસ્કનેક્ટ થાય છે; તે હજી પણ યોગ્ય પગલું છે, અને પછી શેર કરેલી કી પુનઃસ્થાપિત કરવાને બદલે દરેક ઉપકરણ માટે અલગ કી ઇશ્યૂ કરો.

પ્રમાણપત્રો: CRL ત્યારે જ ગણાય જ્યારે ડીમન તેને વાંચે

પ્રમાણપત્ર-આધારિત ઍક્સેસ એક પગલું ઉમેરે છે જે લોકો છોડી દે છે. easyrsa revoke laptop-01 CA ડેટાબેઝમાં પ્રમાણપત્રને રદ તરીકે ચિહ્નિત કરે છે, પણ VPN તે ડેટાબેઝમાંથી કંઈ શીખતું નથી. પછી તમે easyrsa gen-crl ચલાવીને crl.pem લખો છો, તેને સર્વરના crl-verify વિકલ્પમાં દર્શાવેલા પાથ પર કોપી કરો છો, અને ચાલુ ડીમન નવી ફાઇલ વાપરે છે તેની ખાતરી કરો છો. CRL ફરી બનાવ્યા અને વહેંચ્યા વિના રદ કરવું નિષ્ફળ છે.

સમય બીજો અડધો ભાગ છે. ક્લાયન્ટ જોડાય કે ફરી વાટાઘાટ કરે ત્યારે CRL જોવાય છે, તેથી સ્થાપિત ટનલ ત્યાં સુધી ફોરવર્ડ ચાલુ રાખી શકે છે. જો ઉપકરણ તરત જ કાપવું હોય, તો આગલા હેન્ડશેકની રાહ જોવાને બદલે OpenVPN મેનેજમેન્ટ ઇન્ટરફેસ દ્વારા તે સત્ર સ્પષ્ટ રીતે સમાપ્ત કરો. સેવાને ફરી લોડ કે રીસ્ટાર્ટ કરવું, જમાવટ CRL કેવી રીતે લોડ કરે તેના આધારે, ફેરફારનો ભાગ છે અને વૈકલ્પિક વધારો નથી.

બીજા મશીનથી ચકાસવું યોગ્ય છે: રદ કરેલું પ્રમાણપત્ર રજૂ કરો અને હેન્ડશેક નિષ્ફળતાની અપેક્ષા રાખો, સામાન્ય રીતે VERIFY ERROR: depth=0, error=certificate revoked. જો કનેક્શન હજી સફળ થાય, તો ક્લાયન્ટ તમે અપડેટ કરેલા CRL કરતાં બીજું CRL વાંચી રહ્યો છે.

ખાતાં અને સત્રો: નિષ્ક્રિય કરવું એ બહાર કાઢવા જેટલું નથી

ડિરેક્ટરી કે SSO લોગિન પ્રમાણીકરણ સમયે ચકાસાય છે. ખાતું નિષ્ક્રિય કરવાથી આગલું લોગિન અટકે છે, પણ રિફ્રેશ ટોકન અને સ્થાપિત ટનલ સમાપ્ત થાય ત્યાં સુધી કામ ચાલુ રાખી શકે છે. તે વપરાશકર્તાનાં સત્રો અને ટોકન રદ કરો, અથવા ઓળખ પ્રદાતા ટેકો આપે તો સત્ર આવૃત્તિ વધારો. ખોવાયેલું ઉપકરણ MFA નોંધણીમાંથી પણ દૂર કરો, કારણ કે નોંધાયેલું પ્રમાણકર્તા પોતે એક ઍક્સેસ માર્ગ છે.

RADIUS-આધારિત VPN સક્રિય સત્ર પાડવા માટે ડિસ્કનેક્ટ સંદેશ કે અધિકૃતિ પરિવર્તન મોકલી શકે છે, પણ દરેક નેટવર્ક ઍક્સેસ સર્વર તેનું પાલન કરતું નથી. શંકા હોય તો સર્વરની બાજુથી વપરાશકર્તાનું સત્ર સમાપ્ત કરો અને લોગમાં ખાતરી કરો કે જૂનું સત્ર બંધ થયું છે.

આગલા કલાક માટે ક્રિયાઓનો ક્રમ

ઇન્વેન્ટરીથી શરૂ કરો, ક્લાયન્ટથી નહીં: ઉપકરણ સાથે જોડાયેલી દરેક ઓળખની સૂચિ બનાવો, પછી તે પીઅર કી હોય, પ્રમાણપત્ર શ્રેણી હોય કે ખાતું. જે ક્રમમાં કનેક્શન બને છે તે ક્રમમાં દરેક ઇશ્યૂ કરતી સિસ્ટમમાં રદ કરો, એટલે કે પહેલાં ખાતું, પછી પ્રમાણપત્ર, પછી પીઅર. પછી તમે નિયંત્રિત કરો છો તેવા મશીનથી ઇનકાર સાબિત કરો.

બે અનુવર્તી ક્રિયાઓ ભૂલવી સહેલી છે. પ્રથમ, ઉપકરણ પાસેનું બીજું બધું બદલો, ખાસ કરીને SSH કી, ક્લાઉડ કન્સોલ પ્રમાણપત્રો અને શેર કરેલી WireGuard પૂર્વ-શેર કી. બીજું, ચકાસો કે કોન્ફિગરેશન મેનેજમેન્ટ, સ્નેપશોટ કે ગોલ્ડન ઇમેજ આગલી પુનઃનિર્માણમાં દૂર કરેલા ક્લાયન્ટને ફરી લાવી ન શકે.

ટકાઉ ઉકેલ દરેક ઉપકરણ માટે એક ઓળખ છે. જ્યારે દરેક લેપટોપ પોતાની પીઅર કી કે પ્રમાણપત્ર ધરાવે છે, ત્યારે ખોવાવાની કિંમત આખા કાફલાના પુનઃનિર્માણને બદલે એક રદ કરવાનો આદેશ અને એક પુનઃઇશ્યૂ છે.