ಕಳೆದುಹೋದ VPN ಸಾಧನವನ್ನು ರದ್ದುಗೊಳಿಸುವುದು: ಕೀ, ಪ್ರಮಾಣಪತ್ರ ಅಥವಾ ಖಾತೆ

ನಿಮ್ಮ ಲ್ಯಾಪ್ಟಾಪ್ ಹೋಗಿದೆ, ಮತ್ತು VPN ಇನ್ನೂ ಅದನ್ನು ಕ್ಲೈಂಟ್ ಎಂದು ಪಟ್ಟಿ ಮಾಡುತ್ತದೆ. ತುರ್ತು ಪ್ರಶ್ನೆ ಎಂದರೆ ನಿಮ್ಮ ಬಳಿ ಇಲ್ಲದ ಯಂತ್ರದಲ್ಲಿ ಪ್ರೊಫೈಲ್ ಅನ್ನು ಹೇಗೆ ಅಳಿಸುವುದು ಎಂಬುದಲ್ಲ, ಬದಲಿಗೆ ಸರ್ವರ್ ಇನ್ನೂ ಯಾವ ಗುರುತನ್ನು ಸ್ವೀಕರಿಸುತ್ತದೆ ಎಂಬುದು. WireGuard ಸಾರ್ವಜನಿಕ ಕೀಯನ್ನು ಪರಿಶೀಲಿಸುತ್ತದೆ, PKI ಆಧಾರಿತ OpenVPN ಸೆಟಪ್ ಕ್ಲೈಂಟ್ ಪ್ರಮಾಣಪತ್ರವನ್ನು ಪರಿಶೀಲಿಸುತ್ತದೆ, ಮತ್ತು SSO ಇರುವ VPN ಖಾತೆ ಹಾಗೂ ಅದರ ಸೆಷನ್ ಟೋಕನ್ ಅನ್ನು ಪರಿಶೀಲಿಸುತ್ತದೆ. ಈ ಮೂರೂ ಬೇರೆ ಬೇರೆ ಸ್ಥಳಗಳಲ್ಲಿ, ಬೇರೆ ಬೇರೆ ವೇಗದಲ್ಲಿ ರದ್ದಾಗುತ್ತವೆ, ಮತ್ತು ಒಂದನ್ನು ಸರಿಪಡಿಸಿ ಉಳಿದವನ್ನು ನಿರ್ಲಕ್ಷಿಸುವುದೇ ಕಳೆದುಹೋದ ಸಾಧನ ಸಂಪರ್ಕದಲ್ಲಿಯೇ ಉಳಿಯುವ ದಾರಿ.

ಮೂರು ಗುರುತುಗಳು ಮತ್ತು ಪ್ರತಿಯೊಂದು ಏನನ್ನು ನಿಯಂತ್ರಿಸುತ್ತದೆ

ಪ್ರತಿ ಕ್ರಮವೂ ಬೇರೆ ಪ್ರಶ್ನೆಗೆ ಉತ್ತರಿಸುತ್ತದೆ. ಪೀರ್ ಕೀಯು ಇದು ನೀವು ನೋಂದಾಯಿಸಿದ ಯಂತ್ರವೇ ಎಂದು ಉತ್ತರಿಸುತ್ತದೆ. ಪ್ರಮಾಣಪತ್ರವು ಅದನ್ನು ನಿಮ್ಮ CA ಸಹಿ ಮಾಡಿದೆಯೇ ಮತ್ತು ರದ್ದಾಗಿಲ್ಲವೇ ಎಂದು ಉತ್ತರಿಸುತ್ತದೆ. ಖಾತೆಯು ಈ ವ್ಯಕ್ತಿ ಸಾಕಷ್ಟು ಇತ್ತೀಚೆಗೆ ದೃಢೀಕರಿಸಿದ್ದಾರೆಯೇ ಎಂದು ಉತ್ತರಿಸುತ್ತದೆ. ಎರಡು ಪದರಗಳನ್ನು ಒಂದರ ಮೇಲೊಂದು ಇಡುವ ನಿಯೋಜನೆ, ಉದಾಹರಣೆಗೆ ಪ್ರಮಾಣಪತ್ರ ಮತ್ತು ಡೈರೆಕ್ಟರಿ ಲಾಗಿನ್, ಸಾಧನಕ್ಕೆ ಏನಾದರೂ ನೀಡಿದ ಪ್ರತಿ ಪದರಕ್ಕೂ ಅದನ್ನು ಸ್ವೀಕರಿಸುವುದನ್ನು ನಿಲ್ಲಿಸಲು ಹೇಳಿದಾಗ ಮಾತ್ರ ಬಾಗಿಲನ್ನು ಮುಚ್ಚುತ್ತದೆ.

ಪ್ರಾಯೋಗಿಕ ಬಲೆ ಎಂದರೆ ಕಾಣೆಯಾದ ಯಂತ್ರವು ಪ್ರತಿ ರುಜುವಾತಿನ ಖಾಸಗಿ ಅರ್ಧವನ್ನು ಹಿಡಿದಿಟ್ಟುಕೊಳ್ಳುತ್ತದೆ, ಆದ್ದರಿಂದ ನೀವು ಸ್ಥಳೀಯವಾಗಿ ಮಾಡುವ ಯಾವುದೂ ಸರ್ವರ್ ತಲುಪುವುದಿಲ್ಲ.

WireGuard: ಪೀರ್ ತೆಗೆದುಹಾಕಿ, ಏಕೆಂದರೆ ರದ್ದತಿ ಪಟ್ಟಿ ಇಲ್ಲ

WireGuard ಯಾವುದೇ ನಿಷೇಧ ಪಟ್ಟಿಯನ್ನು ಇಟ್ಟುಕೊಳ್ಳುವುದಿಲ್ಲ. ಇಂಟರ್ಫೇಸ್ ಪೀರ್ ಎಂದು ಸಂರಚಿಸಿದ ಸಾರ್ವಜನಿಕ ಕೀಗಳನ್ನು ನಿಖರವಾಗಿ ಸ್ವೀಕರಿಸುತ್ತದೆ, ಆದ್ದರಿಂದ ರದ್ದುಗೊಳಿಸುವುದು ಅಳಿಸುವುದೇ: wg set wg0 peer <public-key> remove ಚಲಾಯಿಸಿ, ಇದು wg(8) ನಲ್ಲಿ ದಾಖಲಾಗಿರುವ ರೂಪ, ನಂತರ wg0.conf ನಿಂದ ಹೊಂದಿಕೆಯಾಗುವ [Peer] ಬ್ಲಾಕ್ ಅನ್ನು ಅಳಿಸಿ. ಎರಡನ್ನೂ ಮಾಡಿ. ರನ್ಟೈಮ್ನಲ್ಲಿ ಮಾತ್ರ ತೆಗೆದುಹಾಕುವುದು ಮುಂದಿನ ರೀಬೂಟ್ ಅಥವಾ ಸಂರಚನೆ ಮರುಲೋಡ್ ವರೆಗೆ ಉಳಿಯುತ್ತದೆ, ಆಗ ಫೈಲ್ ಕೀಯನ್ನು ಮತ್ತೆ ಇಡುತ್ತದೆ.

ಇರುವ ಸೆಷನ್ಗಳು ಸಾಯಲು ಟೈಮರ್ ಬೇಕಿಲ್ಲ. ಪೀರ್ ತೆಗೆದುಹಾಕುವುದು ಅದರ ಹ್ಯಾಂಡ್ಶೇಕ್ ಮತ್ತು ಕೀ ಸಾಮಗ್ರಿಯನ್ನು ಬಿಡುತ್ತದೆ, ಆದ್ದರಿಂದ ಮಾನ್ಯ ಕೀ ಜೋಡಿ ಮತ್ತೆ ಬೇಕಾದ ಕೂಡಲೇ ಸಂಚಾರ ನಿಲ್ಲುತ್ತದೆ. ಸರ್ವರ್ನಲ್ಲಿ wg show wg0 latest-handshakes ಪರಿಶೀಲಿಸಿ: ಕಳೆದುಹೋದ ಕೀಯ ನಮೂದು ಮಾಯವಾಗಿ ಮಾಯವಾಗಿಯೇ ಉಳಿಯಬೇಕು, ಉಳಿದ ಪೀರ್ಗಳು ಇತ್ತೀಚಿನ ಯುಗಗಳನ್ನು ವರದಿ ಮಾಡುತ್ತಲೇ ಇರುತ್ತವೆ.

ಒಂದು ಎಚ್ಚರಿಕೆ ಕಾಣುವುದಕ್ಕಿಂತ ಹೆಚ್ಚು ಮುಖ್ಯ. ಕಳೆದುಹೋದ ಸಾಧನವು ಯಾರೋ ಒಂದು ಸಂರಚನಾ ಫೈಲ್ ನಕಲಿಸಿದ್ದರಿಂದ ಇತರ ಸಾಧನಗಳೊಂದಿಗೆ ಕೀ ಹಂಚಿಕೊಂಡಿದ್ದರೆ, ಆ ಕೀ ತೆಗೆದುಹಾಕುವುದು ಅವೆಲ್ಲವನ್ನೂ ಸಂಪರ್ಕ ಕಡಿತಗೊಳಿಸುತ್ತದೆ; ಅದು ಇನ್ನೂ ಸರಿಯಾದ ಹೆಜ್ಜೆ, ಮತ್ತು ನಂತರ ಹಂಚಿದ ಕೀಯನ್ನು ಮರುಸ್ಥಾಪಿಸುವ ಬದಲು ಪ್ರತಿ ಸಾಧನಕ್ಕೂ ಪ್ರತ್ಯೇಕ ಕೀ ನೀಡಿ.

ಪ್ರಮಾಣಪತ್ರಗಳು: CRL ಡೀಮನ್ ಅದನ್ನು ಓದಿದರೆ ಮಾತ್ರ ಲೆಕ್ಕಕ್ಕೆ ಬರುತ್ತದೆ

ಪ್ರಮಾಣಪತ್ರ ಆಧಾರಿತ ಪ್ರವೇಶವು ಜನರು ಬಿಟ್ಟುಬಿಡುವ ಒಂದು ಹೆಜ್ಜೆಯನ್ನು ಸೇರಿಸುತ್ತದೆ. easyrsa revoke laptop-01 CA ಡೇಟಾಬೇಸ್ನಲ್ಲಿ ಪ್ರಮಾಣಪತ್ರವನ್ನು ರದ್ದಾಗಿದೆ ಎಂದು ಗುರುತಿಸುತ್ತದೆ, ಆದರೆ VPN ಆ ಡೇಟಾಬೇಸ್ನಿಂದ ಏನನ್ನೂ ಕಲಿಯುವುದಿಲ್ಲ. ನಂತರ ನೀವು easyrsa gen-crl ಚಲಾಯಿಸಿ crl.pem ಬರೆಯುತ್ತೀರಿ, ಅದನ್ನು ಸರ್ವರ್ನ crl-verify ಆಯ್ಕೆಯಲ್ಲಿ ಹೆಸರಿಸಿದ ಮಾರ್ಗಕ್ಕೆ ನಕಲಿಸುತ್ತೀರಿ, ಮತ್ತು ಚಾಲನೆಯಲ್ಲಿರುವ ಡೀಮನ್ ಹೊಸ ಫೈಲ್ ಬಳಸುತ್ತಿದೆ ಎಂದು ದೃಢೀಕರಿಸುತ್ತೀರಿ. CRL ಅನ್ನು ಮತ್ತೆ ಉತ್ಪಾದಿಸಿ ಹಂಚದೆ ರದ್ದುಗೊಳಿಸುವುದು ನಿಷ್ಫಲ.

ಸಮಯವು ಎರಡನೇ ಅರ್ಧ. ಕ್ಲೈಂಟ್ ಸಂಪರ್ಕಿಸಿದಾಗ ಅಥವಾ ಮತ್ತೆ ಮಾತುಕತೆ ನಡೆಸಿದಾಗ CRL ನೋಡಲಾಗುತ್ತದೆ, ಆದ್ದರಿಂದ ಸ್ಥಾಪಿತ ಸುರಂಗವು ಅಲ್ಲಿಯವರೆಗೆ ಮುಂದಕ್ಕೆ ಕಳುಹಿಸುವುದನ್ನು ಮುಂದುವರಿಸಬಹುದು. ಸಾಧನವನ್ನು ತಕ್ಷಣ ಕಡಿತಗೊಳಿಸಬೇಕಿದ್ದರೆ, ಮುಂದಿನ ಹ್ಯಾಂಡ್ಶೇಕ್ ನಿರೀಕ್ಷಿಸುವ ಬದಲು OpenVPN ನಿರ್ವಹಣಾ ಇಂಟರ್ಫೇಸ್ ಮೂಲಕ ಆ ಸೆಷನ್ ಅನ್ನು ಸ್ಪಷ್ಟವಾಗಿ ಕೊನೆಗೊಳಿಸಿ. ಸೇವೆಯನ್ನು ಮರುಲೋಡ್ ಅಥವಾ ಮರುಪ್ರಾರಂಭಿಸುವುದು, ನಿಯೋಜನೆ CRL ಅನ್ನು ಹೇಗೆ ಲೋಡ್ ಮಾಡುತ್ತದೆ ಎಂಬುದರ ಮೇಲೆ ಅವಲಂಬಿತವಾಗಿ, ಬದಲಾವಣೆಯ ಭಾಗವೇ ಹೊರತು ಐಚ್ಛಿಕ ಹೆಚ್ಚುವರಿ ಅಲ್ಲ.

ಇನ್ನೊಂದು ಯಂತ್ರದಿಂದ ಪರಿಶೀಲಿಸುವುದು ಯೋಗ್ಯ: ರದ್ದಾದ ಪ್ರಮಾಣಪತ್ರವನ್ನು ಪ್ರಸ್ತುತಪಡಿಸಿ ಮತ್ತು ಹ್ಯಾಂಡ್ಶೇಕ್ ವೈಫಲ್ಯವನ್ನು ನಿರೀಕ್ಷಿಸಿ, ಸಾಮಾನ್ಯವಾಗಿ VERIFY ERROR: depth=0, error=certificate revoked. ಸಂಪರ್ಕವು ಇನ್ನೂ ಯಶಸ್ವಿಯಾದರೆ, ಕ್ಲೈಂಟ್ ನೀವು ನವೀಕರಿಸಿದ್ದಕ್ಕಿಂತ ಬೇರೆ CRL ಓದುತ್ತಿದೆ.

ಖಾತೆಗಳು ಮತ್ತು ಸೆಷನ್ಗಳು: ನಿಷ್ಕ್ರಿಯಗೊಳಿಸುವುದು ಹೊರಹಾಕುವುದಲ್ಲ

ಡೈರೆಕ್ಟರಿ ಅಥವಾ SSO ಲಾಗಿನ್ಗಳನ್ನು ದೃಢೀಕರಣದ ಸಮಯದಲ್ಲಿ ಪರಿಶೀಲಿಸಲಾಗುತ್ತದೆ. ಖಾತೆಯನ್ನು ನಿಷ್ಕ್ರಿಯಗೊಳಿಸುವುದು ಮುಂದಿನ ಲಾಗಿನ್ ಅನ್ನು ತಡೆಯುತ್ತದೆ, ಆದರೆ ರಿಫ್ರೆಶ್ ಟೋಕನ್ ಮತ್ತು ಸ್ಥಾಪಿತ ಸುರಂಗವು ಅವಧಿ ಮುಗಿಯುವವರೆಗೆ ಕೆಲಸ ಮುಂದುವರಿಸಬಹುದು. ಆ ಬಳಕೆದಾರರ ಸೆಷನ್ ಮತ್ತು ಟೋಕನ್ಗಳನ್ನು ರದ್ದುಗೊಳಿಸಿ, ಅಥವಾ ಗುರುತು ಪೂರೈಕೆದಾರರು ಬೆಂಬಲಿಸಿದರೆ ಸೆಷನ್ ಆವೃತ್ತಿ ಹೆಚ್ಚಿಸಿ. ಕಳೆದುಹೋದ ಸಾಧನವನ್ನು MFA ನೋಂದಣಿಯಿಂದಲೂ ತೆಗೆದುಹಾಕಿ, ಏಕೆಂದರೆ ನೋಂದಾಯಿತ ದೃಢೀಕರಣಕಾರವೇ ಒಂದು ಪ್ರವೇಶ ಮಾರ್ಗ.

RADIUS ಆಧಾರಿತ VPN ಗಳು ಸಕ್ರಿಯ ಸೆಷನ್ ಅನ್ನು ಉರುಳಿಸಲು ಸಂಪರ್ಕ ಕಡಿತ ಸಂದೇಶ ಅಥವಾ ಅನುಮತಿ ಬದಲಾವಣೆ ಕಳುಹಿಸಬಹುದು, ಆದರೆ ಪ್ರತಿ ನೆಟ್ವರ್ಕ್ ಪ್ರವೇಶ ಸರ್ವರ್ ಅದನ್ನು ಪಾಲಿಸುವುದಿಲ್ಲ. ಸಂದೇಹವಿದ್ದರೆ ಸರ್ವರ್ ಕಡೆಯಿಂದ ಬಳಕೆದಾರರ ಸೆಷನ್ ಅನ್ನು ಕೊನೆಗೊಳಿಸಿ ಮತ್ತು ಲಾಗ್ಗಳಲ್ಲಿ ಹಳೆಯ ಸೆಷನ್ ಮುಚ್ಚಿದೆ ಎಂದು ದೃಢೀಕರಿಸಿ.

ಮುಂದಿನ ಒಂದು ಗಂಟೆಗೆ ಕ್ರಿಯೆಗಳ ಕ್ರಮ

ಇನ್ವೆಂಟರಿಯಿಂದ ಪ್ರಾರಂಭಿಸಿ, ಕ್ಲೈಂಟ್ನಿಂದ ಅಲ್ಲ: ಸಾಧನಕ್ಕೆ ಸಂಬಂಧಿಸಿದ ಪ್ರತಿ ಗುರುತನ್ನು ಪಟ್ಟಿ ಮಾಡಿ, ಅದು ಪೀರ್ ಕೀ, ಪ್ರಮಾಣಪತ್ರ ಸರಣಿ ಸಂಖ್ಯೆ ಅಥವಾ ಖಾತೆ ಆಗಿರಲಿ. ಸಂಪರ್ಕವನ್ನು ನಿರ್ಮಿಸುವ ಕ್ರಮದಲ್ಲಿ ಪ್ರತಿ ನೀಡುವ ವ್ಯವಸ್ಥೆಯಲ್ಲಿ ರದ್ದುಗೊಳಿಸಿ, ಅಂದರೆ ಮೊದಲು ಖಾತೆ, ನಂತರ ಪ್ರಮಾಣಪತ್ರ, ನಂತರ ಪೀರ್. ನಂತರ ನೀವು ನಿಯಂತ್ರಿಸುವ ಯಂತ್ರದಿಂದ ನಿರಾಕರಣೆಯನ್ನು ಸಾಬೀತುಪಡಿಸಿ.

ಎರಡು ಅನುಸರಣಾ ಕೆಲಸಗಳನ್ನು ಮರೆಯುವುದು ಸುಲಭ. ಮೊದಲನೆಯದಾಗಿ, ಸಾಧನದಲ್ಲಿದ್ದ ಬೇರೆ ಎಲ್ಲದನ್ನೂ ಬದಲಾಯಿಸಿ, ವಿಶೇಷವಾಗಿ SSH ಕೀಗಳು, ಕ್ಲೌಡ್ ಕನ್ಸೋಲ್ ರುಜುವಾತುಗಳು ಮತ್ತು ಹಂಚಿದ WireGuard ಪೂರ್ವ-ಹಂಚಿದ ಕೀ. ಎರಡನೆಯದಾಗಿ, ಸಂರಚನಾ ನಿರ್ವಹಣೆ, ಸ್ನ್ಯಾಪ್ಶಾಟ್ಗಳು ಅಥವಾ ಚಿನ್ನದ ಚಿತ್ರಗಳು ಮುಂದಿನ ಮರುನಿರ್ಮಾಣದಲ್ಲಿ ತೆಗೆದುಹಾಕಿದ ಕ್ಲೈಂಟ್ ಅನ್ನು ಮರಳಿ ತರಲು ಸಾಧ್ಯವಿಲ್ಲ ಎಂದು ಪರಿಶೀಲಿಸಿ.

ಬಾಳಿಕೆಯ ಪರಿಹಾರ ಪ್ರತಿ ಸಾಧನಕ್ಕೂ ಒಂದು ಗುರುತು. ಪ್ರತಿ ಲ್ಯಾಪ್ಟಾಪ್ ತನ್ನದೇ ಪೀರ್ ಕೀ ಅಥವಾ ಪ್ರಮಾಣಪತ್ರವನ್ನು ಹೊತ್ತರೆ, ನಷ್ಟದ ಬೆಲೆ ಇಡೀ ನೌಕಾಪಡೆಯ ಮರುನಿರ್ಮಾಣದ ಬದಲು ಒಂದು ರದ್ದತಿ ಆದೇಶ ಮತ್ತು ಒಂದು ಮರುನೀಡಿಕೆ.