खोया हुआ VPN डिवाइस कैसे रद्द करें: कुंजी, प्रमाणपत्र या खाता

आपका लैपटॉप चला गया है, और VPN अब भी उसे क्लाइंट के रूप में सूचीबद्ध करता है। ज़रूरी सवाल यह नहीं है कि उस मशीन पर प्रोफ़ाइल कैसे हटाएँ जो अब आपके पास नहीं है, बल्कि यह है कि सर्वर अब भी कौन-सी पहचान स्वीकार करता है। WireGuard सार्वजनिक कुंजी जाँचता है, PKI-आधारित OpenVPN सेटअप क्लाइंट प्रमाणपत्र जाँचता है, और SSO वाला VPN खाता तथा उसका सत्र टोकन जाँचता है। ये तीनों अलग-अलग जगहों पर, अलग-अलग गति से रद्द होते हैं, और एक को ठीक करते हुए बाकी को नज़रअंदाज़ करना ही वह तरीका है जिससे खोया डिवाइस जुड़ा रह जाता है।

तीन पहचानें और हर एक क्या नियंत्रित करती है

हर तंत्र अलग सवाल का जवाब देता है। पीयर कुंजी बताती है कि क्या यह वही मशीन है जिसे आपने नामांकित किया। प्रमाणपत्र बताता है कि क्या उसे आपके CA ने हस्ताक्षरित किया और वह रद्द नहीं हुआ। खाता बताता है कि क्या इस व्यक्ति ने हाल ही में पर्याप्त प्रमाणीकरण किया। दो परतों वाली तैनाती, जैसे प्रमाणपत्र के साथ डायरेक्टरी लॉगिन, दरवाज़ा तभी बंद करती है जब डिवाइस को कुछ देने वाली हर परत से कहा जाए कि वह उसे स्वीकार करना बंद कर दे।

व्यावहारिक जाल यह है कि गायब मशीन हर क्रेडेंशियल का निजी आधा हिस्सा रखती है, इसलिए आप स्थानीय रूप से जो कुछ भी करें वह सर्वर तक नहीं पहुँचता।

WireGuard: पीयर हटाएँ, क्योंकि कोई रद्दीकरण सूची नहीं है

WireGuard कोई निषेध सूची नहीं रखता। इंटरफ़ेस ठीक उन्हीं सार्वजनिक कुंजियों को स्वीकार करता है जो पीयर के रूप में कॉन्फ़िगर हैं, इसलिए रद्द करना यानी हटाना: wg set wg0 peer <public-key> remove चलाएँ, जो रूप wg(8) में प्रलेखित है, फिर wg0.conf से मेल खाता [Peer] ब्लॉक हटाएँ। दोनों करें। केवल रनटाइम में हटाना अगले रीबूट या कॉन्फ़िग पुनः लोड तक टिकता है, तब फ़ाइल कुंजी वापस लगा देती है।

मौजूदा सत्रों को मरने के लिए टाइमर की ज़रूरत नहीं। पीयर हटाने से उसका हैंडशेक और कुंजी सामग्री निकल जाती है, इसलिए मान्य कुंजी-जोड़ी फिर ज़रूरी होते ही ट्रैफ़िक रुक जाता है। सर्वर पर wg show wg0 latest-handshakes जाँचें: खोई कुंजी की प्रविष्टि गायब होनी चाहिए और गायब ही रहनी चाहिए, जबकि बाकी पीयर हाल के युग बताते रहते हैं।

एक चेतावनी दिखने से ज़्यादा मायने रखती है। अगर खोए डिवाइस ने दूसरे डिवाइसों के साथ कुंजी साझा की थी क्योंकि किसी ने एक कॉन्फ़िग फ़ाइल कॉपी की थी, तो उस कुंजी को हटाने से वे सभी डिस्कनेक्ट हो जाते हैं; यह फिर भी सही कदम है, और बाद में साझा कुंजी बहाल करने के बजाय हर डिवाइस के लिए अलग कुंजी जारी करें।

प्रमाणपत्र: CRL तभी मायने रखती है जब डेमॉन उसे पढ़े

प्रमाणपत्र-आधारित पहुँच एक कदम जोड़ती है जिसे लोग छोड़ देते हैं। easyrsa revoke laptop-01 CA डेटाबेस में प्रमाणपत्र को रद्द के रूप में चिह्नित करता है, लेकिन VPN उस डेटाबेस से कुछ नहीं सीखता। फिर आप easyrsa gen-crl चलाकर crl.pem लिखते हैं, उसे सर्वर के crl-verify विकल्प में बताए गए पथ पर कॉपी करते हैं, और पुष्टि करते हैं कि चल रहा डेमॉन नई फ़ाइल का उपयोग कर रहा है। CRL को फिर से बनाए और वितरित किए बिना रद्द करना व्यर्थ है।

समय दूसरा आधा है। क्लाइंट के जुड़ने या फिर से बातचीत करने पर CRL देखी जाती है, इसलिए स्थापित टनल तब तक अग्रेषण जारी रख सकती है। अगर डिवाइस को तुरंत काटना है, तो अगले हैंडशेक का इंतज़ार करने के बजाय OpenVPN प्रबंधन इंटरफ़ेस से उस सत्र को स्पष्ट रूप से समाप्त करें। सेवा को फिर से लोड या रीस्टार्ट करना, यह निर्भर करता है कि तैनाती CRL को कैसे लोड करती है, बदलाव का हिस्सा है और वैकल्पिक अतिरिक्त नहीं।

दूसरी मशीन से जाँच करना उचित है: रद्द किया गया प्रमाणपत्र प्रस्तुत करें और हैंडशेक विफलता की अपेक्षा करें, आमतौर पर VERIFY ERROR: depth=0, error=certificate revoked। अगर कनेक्शन फिर भी सफल होता है, तो क्लाइंट आपके अद्यतन किए गए CRL से अलग CRL पढ़ रहा है।

खाते और सत्र: निष्क्रिय करना बाहर निकालने के बराबर नहीं

डायरेक्टरी या SSO लॉगिन प्रमाणीकरण के समय जाँचे जाते हैं। खाता निष्क्रिय करने से अगला लॉगिन रुकता है, लेकिन रिफ़्रेश टोकन और स्थापित टनल समाप्त होने तक काम करते रह सकते हैं। उस उपयोगकर्ता के सत्र और टोकन रद्द करें, या यदि पहचान प्रदाता समर्थन करता है तो सत्र संस्करण बढ़ाएँ। खोए डिवाइस को MFA नामांकन से भी हटाएँ, क्योंकि पंजीकृत प्रमाणक अपने आप में एक पहुँच मार्ग है।

RADIUS आधारित VPN सक्रिय सत्र गिराने के लिए डिस्कनेक्ट संदेश या प्राधिकरण परिवर्तन भेज सकते हैं, लेकिन हर नेटवर्क एक्सेस सर्वर उसका पालन नहीं करता। संदेह हो तो सर्वर की ओर से उपयोगकर्ता का सत्र समाप्त करें और लॉग में पुष्टि करें कि पुराना सत्र बंद हो गया।

अगले एक घंटे के लिए कार्यों का क्रम

इन्वेंटरी से शुरू करें, क्लाइंट से नहीं: डिवाइस से जुड़ी हर पहचान सूचीबद्ध करें, चाहे पीयर कुंजी हो, प्रमाणपत्र क्रमांक हो या खाता। हर जारी करने वाली प्रणाली में उसी क्रम में रद्द करें जिसमें कनेक्शन बनता है, यानी पहले खाता, फिर प्रमाणपत्र, फिर पीयर। फिर अपने नियंत्रण वाली मशीन से इनकार सिद्ध करें।

दो अनुवर्ती काम भूलना आसान है। पहला, डिवाइस के पास जो कुछ और था उसे बदलें, विशेष रूप से SSH कुंजियाँ, क्लाउड कंसोल क्रेडेंशियल और साझा WireGuard पूर्व-साझित कुंजी। दूसरा, जाँचें कि कॉन्फ़िगरेशन प्रबंधन, स्नैपशॉट या गोल्डन इमेज अगली पुनर्निर्माण में हटाए गए क्लाइंट को वापस नहीं ला सकते।

टिकाऊ समाधान हर डिवाइस के लिए एक पहचान है। जब हर लैपटॉप अपनी पीयर कुंजी या प्रमाणपत्र रखता है, तो खोने की कीमत पूरे बेड़े के पुनर्निर्माण के बजाय एक रद्दीकरण आदेश और एक पुनःजारी है।