गळलेली VPN किल्ली बदलणे: सर्व्हरने काय करावे

क्लायंट किल्ली असलेला लॅपटॉप हरवला, आणि पहिले पाऊल सहसा स्थानिक प्रत हटवणे असते। त्यामुळे सर्व्हरवर काहीही बदलत नाही; त्या किल्लीला स्वीकारणारी परवानगी कोणी काढेपर्यंत सर्व्हरकडे ती शिल्लक असते। बदलणे ही दोन क्रिया आहेत, आणि फक्त दुसरीच जुन्या क्रेडेन्शियलशी संबंधित आहे।

स्थानिक प्रत हा अधिकार नाही

VPN क्रेडेन्शियल स्वीकारले जाते कारण सर्व्हर-साइड कॉन्फिगरेशन तसे सांगते। प्रमाणपत्रांसाठी याचा अर्थ असा की प्रमाणपत्र विश्वासार्ह जारीकर्त्याशी साखळीने जोडले जाते आणि गेटवे जी रद्दीकरण यादी पाहते तिच्यात दिसत नाही। WireGuard साठी याचा अर्थ असा की पीअरची सार्वजनिक किल्ली इंटरफेस कॉन्फिगरेशनमध्ये दिसते। क्लायंटवर फाईल हटवल्याने रहस्याची एक प्रत जाते आणि स्वीकृतीचा नियम अभंग राहतो।

म्हणूनच चोरीची किल्ली स्पष्ट साफसफाईनंतरही काम करत राहते, आणि नवे कॉन्फिगरेशन बसवल्यावरही घटना न सुटल्यासारखी वाटते।

सर्व्हरच्या नियमापासून सुरुवात करा, नंतर क्लायंटकडे बाहेरच्या दिशेने काम करा।

प्रमाणपत्रे: निर्णय सर्व्हरकडे

नवी ओळख नोंदवली जाईल अशा रीतीने जारीकर्त्याच्याच प्रक्रियेतून बदल जारी करा, नंतर स्वाक्षरी केलेल्या रद्दीकरणाने जुने मागे घ्या। गेटवे त्या रद्दीकरण स्रोताची तपासणी करण्यासाठी कॉन्फिगर केलेला असावा, आणि त्याने तो पुन्हा लोड केला पाहिजे, अन्यथा फाईल डिस्कवर पडून राहते आणि बोगदा जुना सीरियल स्वीकारत राहतो। सक्रिय सत्रे पुनर्वाटाघाटीपर्यंत टिकू शकतात, म्हणून पुन्हा जोडणीची योजना करा।

बदल इच्छित अनुप्रयोगासाठी चालतो याची खात्री करा, नंतर मंजूर प्रक्रियेद्वारे निवृत्त प्रमाणपत्र आता प्रवेश प्रस्थापित करत नाही याची खात्री करा।

ही दोन वेगळी चाचणी आहेत आणि दोन्ही आवश्यक आहेत। RFC 5280 गेटवे ज्या प्रमाणपत्र व रद्दीकरण अर्थावर अवलंबून आहे तो परिभाषित करते।

WireGuard: पीअर किल्ली हीच ओळख

WireGuard मध्ये प्रमाणपत्राचा थर नाही: पीअरची सार्वजनिक किल्ली ही ओळख आहे, आणि सर्व्हरची allowed-ips नोंद हा अधिकार आहे। इंटरफेस कॉन्फिगरेशनमधून जुना पीअर काढणे हेच रद्दीकरण आहे, आणि ते नव्या हँडशेकवर तात्काळ लागू होते।

विद्यमान सत्रे पुढील हँडशेक अयशस्वी झाल्यावर संपतात, जे सहसा तात्काळ नसून काही मिनिटांत होते।

नवे कॉन्फिगरेशन अशा मार्गाने वाटा ज्याला तुम्ही पासवर्ड सोपवाल, कारण खाजगी किल्ली हेच क्रेडेन्शियल आहे। प्रत्येक उपकरणासाठी एक किल्ली ठेवा, जेणेकरून एक हरवलेले उपकरण प्रत्येक उपकरण बदलण्यास भाग पाडणार नाही।

त्या बंडलमध्ये आणखी काय होते

क्लायंट बंडल बऱ्याचदा खाजगी किल्लीपेक्षा जास्त घेऊन जाते: स्थिर TLS किल्ली, वापरकर्तानाव आणि पासवर्ड, पूर्व-सामायिक रहस्य किंवा प्रोव्हिजनिंग टोकन। घटनेची व्याप्ती प्रत्यक्षात उघड झालेल्या गोष्टींपुरती मर्यादित करा आणि ती घटकही फिरवा। प्रमाणपत्र फिरवताना सामायिक स्थिर किल्ली जागेवर ठेवल्यास एक दरवाजा बंद होतो आणि दुसरा उघडा राहतो।

बंडल उपकरणांमध्ये सामायिक असेल, तर ते वाहणारे प्रत्येक उपकरण ती उघडता वारसाने घेते।

काय फिरवले ते लिहून ठेवा, कारण पुढील लेखापरीक्षण विचारेल।

नकार सिद्ध करा, नंतर बदल नोंदवा

बदल तेव्हा पूर्ण होतो जेव्हा दोन तथ्ये टिकतात: नवी ओळख इच्छित सेवेसाठी चालते, आणि जुनी नाकारली जाते। दुसरे निवृत्त क्रेडेन्शियलसह चाचणी वातावरणातून तपासा, किंवा संस्था मंजूर करते अशा नियंत्रित प्रयत्नाने, आणि गेटवे लॉग वाचून नकार धोरणातून आला आहे, टाइपिंगच्या चुकीमुळे नाही याची खात्री करा। नंतर जुना ओळखकर्ता, नवा आणि बदलाची वेळ नोंदवा, कारण तीच तीन मूल्ये लेखापरीक्षकाला ते पुनर्रचित करण्यासाठी लागतात। तिकिटातील दुसरे काहीही ती पोकळी समजावणार नाही।

खाजगी किल्ल्या तिकिटांपासून आणि गप्पांपासून दूर ठेवा, आणि धोरणानुसार साठवणुकीतून व बॅकअपमधून कालबाह्य निर्यात काढा।

नकार चाचणीशिवाय बदल हा गृहीत आहे, उपाय नाही।