हरवलेले VPN उपकरण कसे रद्द करावे: की, प्रमाणपत्र किंवा खाते

तुमचा लॅपटॉप गेला आहे, आणि VPN अजूनही त्याला क्लायंट म्हणून सूचीबद्ध करते। तातडीचा प्रश्न हा नाही की आता तुमच्याकडे नसलेल्या मशीनवर प्रोफाइल कसे हटवायचे, तर हा आहे की सर्व्हर अजून कोणती ओळख स्वीकारतो। WireGuard सार्वजनिक की तपासतो, PKI-आधारित OpenVPN सेटअप क्लायंट प्रमाणपत्र तपासतो, आणि SSO असलेले VPN खाते व त्याचे सत्र टोकन तपासते। हे तीन वेगवेगळ्या ठिकाणी आणि वेगवेगळ्या वेगाने रद्द होतात, आणि एक दुरुस्त करून बाकीच्यांकडे दुर्लक्ष करणे हाच हरवलेले उपकरण जोडलेले राहण्याचा मार्ग आहे।

तीन ओळखी आणि प्रत्येक काय नियंत्रित करते

प्रत्येक यंत्रणा वेगळ्या प्रश्नाचे उत्तर देते। पीअर की सांगते की हे तुम्ही नोंदवलेले मशीन आहे का। प्रमाणपत्र सांगते की ते तुमच्या CA ने स्वाक्षरी केले आहे आणि रद्द झालेले नाही। खाते सांगते की या व्यक्तीने पुरेसे अलीकडे प्रमाणीकरण केले आहे का। दोन स्तर एकमेकांवर ठेवणारी तैनाती, उदाहरणार्थ प्रमाणपत्र आणि डिरेक्टरी लॉगिन, दार तेव्हाच बंद करते जेव्हा उपकरणाला काही दिलेल्या प्रत्येक स्तराला ते स्वीकारणे थांबवण्यास सांगितले जाते।

व्यावहारिक सापळा असा आहे की गायब मशीन प्रत्येक क्रेडेन्शियलचा खाजगी अर्धा भाग ठेवते, म्हणून तुम्ही स्थानिक पातळीवर जे काही करता ते सर्व्हरपर्यंत पोहोचत नाही।

WireGuard: पीअर काढा, कारण रद्दीकरण सूची नाही

WireGuard कोणतीही प्रतिबंध सूची ठेवत नाही। इंटरफेस नेमक्या त्या सार्वजनिक की स्वीकारतो ज्या पीअर म्हणून कॉन्फिगर केलेल्या आहेत, म्हणून रद्द करणे म्हणजे हटवणे: wg set wg0 peer <public-key> remove चालवा, हे स्वरूप wg(8) मध्ये नोंदवलेले आहे, नंतर wg0.conf मधून जुळणारा [Peer] ब्लॉक हटवा। दोन्ही करा। फक्त रनटाइममध्ये काढणे पुढील रीबूट किंवा कॉन्फिग पुन्हा लोड होईपर्यंत टिकते, तेव्हा फाइल की पुन्हा ठेवते।

सध्याच्या सत्रांना मरण्यासाठी टाइमरची गरज नाही। पीअर काढल्याने त्याचे हँडशेक आणि की सामग्री सोडली जाते, म्हणून वैध की-जोडी पुन्हा आवश्यक होताच रहदारी थांबते। सर्व्हरवर wg show wg0 latest-handshakes तपासा: हरवलेल्या कीची नोंद नाहीशी व्हायला हवी आणि नाहीशीच राहिली पाहिजे, तर इतर पीअर अलीकडील युगांची माहिती देत राहतात।

एक इशारा दिसतो त्यापेक्षा अधिक महत्त्वाचा आहे। जर हरवलेल्या उपकरणाने इतर उपकरणांसोबत की सामायिक केली असेल कारण कोणी एक कॉन्फिग फाइल कॉपी केली, तर ती की काढल्याने ती सर्व डिस्कनेक्ट होतात; ते तरीही योग्य पाऊल आहे, आणि नंतर सामायिक की पुनर्संचयित करण्याऐवजी प्रत्येक उपकरणासाठी वेगळी की द्या।

प्रमाणपत्रे: CRL तेव्हाच मोजली जाते जेव्हा डेमॉन ती वाचतो

प्रमाणपत्र-आधारित प्रवेश एक पाऊल जोडतो जे लोक वगळतात। easyrsa revoke laptop-01 CA डेटाबेसमध्ये प्रमाणपत्र रद्द म्हणून चिन्हांकित करते, पण VPN त्या डेटाबेसकडून काहीही शिकत नाही। नंतर तुम्ही easyrsa gen-crl चालवून crl.pem लिहिता, ते सर्व्हरच्या crl-verify पर्यायात नमूद केलेल्या मार्गावर कॉपी करता, आणि चालू डेमॉन नवीन फाइल वापरत असल्याची खात्री करता। CRL पुन्हा तयार आणि वितरित न करता रद्द करणे निरुपयोगी आहे।

वेळ हा दुसरा अर्धा भाग आहे। क्लायंट जोडला जातो किंवा पुन्हा वाटाघाटी करतो तेव्हा CRL पाहिली जाते, म्हणून प्रस्थापित टनेल तोपर्यंत पुढे पाठवत राहू शकते। जर उपकरण तात्काळ तोडायचे असेल, तर पुढील हँडशेकची वाट न पाहता OpenVPN व्यवस्थापन इंटरफेसद्वारे ते सत्र स्पष्टपणे संपवा। सेवा पुन्हा लोड किंवा रीस्टार्ट करणे, तैनाती CRL कशी लोड करते यावर अवलंबून, बदलाचा भाग आहे आणि पर्यायी अतिरिक्त नाही।

दुसऱ्या मशीनवरून तपासणे फायद्याचे आहे: रद्द केलेले प्रमाणपत्र सादर करा आणि हँडशेक अयशस्वी होण्याची अपेक्षा करा, सामान्यतः VERIFY ERROR: depth=0, error=certificate revoked। जर कनेक्शन तरीही यशस्वी झाले, तर क्लायंट तुम्ही अद्ययावत केलेल्यापेक्षा वेगळी CRL वाचत आहे।

खाती आणि सत्रे: निष्क्रिय करणे बाहेर काढण्यासारखे नाही

डिरेक्टरी किंवा SSO लॉगिन प्रमाणीकरणाच्या वेळी तपासले जातात। खाते निष्क्रिय केल्याने पुढील लॉगिन अडवले जाते, पण रिफ्रेश टोकन आणि प्रस्थापित टनेल त्यांची मुदत संपेपर्यंत काम करत राहू शकतात। त्या वापरकर्त्याची सत्रे आणि टोकन रद्द करा, किंवा ओळख पुरवठादार समर्थन देत असल्यास सत्र आवृत्ती वाढवा। हरवलेले उपकरण MFA नोंदणीतूनही काढा, कारण नोंदणीकृत प्रमाणक हा स्वतःच एक प्रवेश मार्ग आहे।

RADIUS-आधारित VPN सक्रिय सत्र पाडण्यासाठी डिस्कनेक्ट संदेश किंवा अधिकृतता बदल पाठवू शकतात, पण प्रत्येक नेटवर्क प्रवेश सर्व्हर त्याचे पालन करत नाही। शंका असल्यास सर्व्हरच्या बाजूने वापरकर्त्याचे सत्र संपवा आणि लॉगमध्ये जुने सत्र बंद झाल्याची खात्री करा।

पुढील एका तासासाठी कृतींचा क्रम

क्लायंटपासून नाही, इन्व्हेंटरीपासून सुरुवात करा: उपकरणाशी जोडलेली प्रत्येक ओळख सूचीबद्ध करा, ती पीअर की असो, प्रमाणपत्र क्रमांक असो किंवा खाते असो। कनेक्शन ज्या क्रमाने तयार होते त्या क्रमाने प्रत्येक जारी करणाऱ्या प्रणालीत रद्द करा, म्हणजे आधी खाते, नंतर प्रमाणपत्र, नंतर पीअर। नंतर तुम्ही नियंत्रित करता अशा मशीनवरून नकार सिद्ध करा।

दोन पुढील कृती विसरणे सोपे आहे। प्रथम, उपकरणाकडे असलेले बाकी सर्व बदला, विशेषतः SSH की, क्लाउड कन्सोल क्रेडेन्शियल आणि सामायिक WireGuard पूर्व-सामायिक की। दुसरे, कॉन्फिगरेशन व्यवस्थापन, स्नॅपशॉट किंवा गोल्डन इमेज पुढील पुनर्बांधणीत काढलेला क्लायंट परत आणू शकत नाहीत याची खात्री करा।

टिकाऊ उपाय म्हणजे प्रत्येक उपकरणासाठी एक ओळख। जेव्हा प्रत्येक लॅपटॉप स्वतःची पीअर की किंवा प्रमाणपत्र बाळगतो, तेव्हा हानीची किंमत संपूर्ण ताफा पुन्हा बांधण्याऐवजी एक रद्दीकरण आदेश आणि एक पुनर्जारी असते।