हराएको VPN यन्त्र कसरी रद्द गर्ने: कुञ्जी, प्रमाणपत्र वा खाता

तपाईंको ल्यापटप गयो, र VPN अझै यसलाई ग्राहकका रूपमा सूचीबद्ध गर्छ। तत्काल प्रश्न यो होइन कि अब तपाईंसँग नभएको मेसिनमा प्रोफाइल कसरी मेट्ने, तर यो हो कि सर्भरले अझै कुन पहिचान स्वीकार गर्छ। WireGuard सार्वजनिक कुञ्जी जाँच्छ, PKI-आधारित OpenVPN सेटअप ग्राहक प्रमाणपत्र जाँच्छ, र SSO भएको VPN खाता र त्यसको सत्र टोकन जाँच्छ। यी तीन फरक ठाउँमा र फरक गतिमा रद्द हुन्छन्, र एउटा सुधारेर अरूलाई बेवास्ता गर्नु नै हराएको यन्त्र जोडिएर रहने बाटो हो।

तीन पहिचान र प्रत्येकले के नियन्त्रण गर्छ

हरेक संयन्त्र फरक प्रश्नको उत्तर दिन्छ। सहकर्मी कुञ्जीले यो तपाईंले दर्ता गरेको मेसिन हो कि भनी उत्तर दिन्छ। प्रमाणपत्रले यो तपाईंको CA ले हस्ताक्षर गरेको र रद्द नभएको हो कि भनी उत्तर दिन्छ। खाताले यो व्यक्तिले पछिल्लो समय पर्याप्त प्रमाणीकरण गरेको हो कि भनी उत्तर दिन्छ। दुई तहलाई एकअर्कामाथि राख्ने तैनाथी, जस्तै प्रमाणपत्र र डाइरेक्टरी लगइन, ढोका तब मात्र बन्द गर्छ जब यन्त्रलाई केही दिएको हरेक तहलाई त्यो स्वीकार गर्न छोड्न भनिन्छ।

व्यावहारिक फन्दा यो हो कि गायब मेसिनले हरेक प्रमाणपत्रको निजी आधा भाग राख्छ, त्यसैले तपाईंले स्थानीय रूपमा गरेको कुरा सर्भरसम्म पुग्दैन।

WireGuard: सहकर्मी हटाउनुहोस्, किनकि रद्द सूची छैन

WireGuard कुनै निषेध सूची राख्दैन। इन्टरफेसले सहकर्मीका रूपमा कन्फिगर गरिएका सार्वजनिक कुञ्जीहरू मात्र स्वीकार गर्छ, त्यसैले रद्द गर्नु भनेको मेट्नु हो: wg set wg0 peer <public-key> remove चलाउनुहोस्, यो ढाँचा wg(8) मा अभिलेखित छ, त्यसपछि wg0.conf बाट मिल्ने [Peer] ब्लक मेट्नुहोस्। दुवै गर्नुहोस्। रनटाइममा मात्र हटाउने काम अर्को रिबुट वा कन्फिग पुनः लोड नभएसम्म टिक्छ, त्यसपछि फाइलले कुञ्जी फर्काउँछ।

अवस्थित सत्रहरूलाई मर्न टाइमर चाहिँदैन। सहकर्मी हटाउँदा त्यसको ह्यान्डसेक र कुञ्जी सामग्री छाडिन्छ, त्यसैले मान्य कुञ्जी-जोडी फेरि आवश्यक हुनासाथ ट्राफिक रोकिन्छ। सर्भरमा wg show wg0 latest-handshakes जाँच्नुहोस्: हराएको कुञ्जीको प्रविष्टि हराउनुपर्छ र हराएकै रहनुपर्छ, जबकि अन्य सहकर्मीहरूले हालैका युगहरू रिपोर्ट गरिरहन्छन्।

एउटा चेतावनी देखिनेभन्दा बढी महत्त्वपूर्ण छ। यदि हराएको यन्त्रले अरू यन्त्रसँग कुञ्जी साझा गरेको थियो भने कसैले एउटा कन्फिग फाइल प्रतिलिपि गरेको हुनाले, त्यो कुञ्जी हटाउँदा ती सबै विच्छेद हुन्छन्; यो अझै सही कदम हो, र पछि साझा कुञ्जी पुनःस्थापित गर्नुको साटो हरेक यन्त्रका लागि छुट्टै कुञ्जी जारी गर्नुहोस्।

प्रमाणपत्र: CRL तब मात्र गणना हुन्छ जब डेमनले त्यो पढ्छ

प्रमाणपत्र-आधारित पहुँचले मानिसहरूले छोड्ने एउटा चरण थप्छ। easyrsa revoke laptop-01 ले CA डेटाबेसमा प्रमाणपत्र रद्द भनेर चिन्ह लगाउँछ, तर VPN ले त्यो डेटाबेसबाट केही सिक्दैन। त्यसपछि तपाईं easyrsa gen-crl चलाएर crl.pem लेख्नुहुन्छ, त्यसलाई सर्भरको crl-verify विकल्पमा उल्लेख गरिएको बाटोमा प्रतिलिपि गर्नुहुन्छ, र चलिरहेको डेमनले नयाँ फाइल प्रयोग गरिरहेको पुष्टि गर्नुहुन्छ। CRL पुनः उत्पादन र वितरण नगरी रद्द गर्नु व्यर्थ हुन्छ।

समय दोस्रो आधा हो। ग्राहक जोडिँदा वा पुनः वार्ता गर्दा CRL हेरिन्छ, त्यसैले स्थापित टनेलले त्यतिबेलासम्म अगाडि पठाइरहन सक्छ। यदि यन्त्र तुरुन्तै काट्नुपर्ने भए, अर्को ह्यान्डसेक कुर्नुको साटो OpenVPN व्यवस्थापन इन्टरफेसबाट त्यो सत्र स्पष्ट रूपमा अन्त्य गर्नुहोस्। सेवा पुनः लोड वा रिस्टार्ट गर्ने काम, तैनाथीले CRL कसरी लोड गर्छ भन्नेमा निर्भर, परिवर्तनको भाग हो र वैकल्पिक थप होइन।

अर्को मेसिनबाट जाँच गर्नु लायक छ: रद्द गरिएको प्रमाणपत्र प्रस्तुत गर्नुहोस् र ह्यान्डसेक असफलताको अपेक्षा गर्नुहोस्, सामान्यतया VERIFY ERROR: depth=0, error=certificate revoked। यदि जडान अझै सफल भयो भने, ग्राहकले तपाईंले अद्यावधिक गरेकोभन्दा फरक CRL पढिरहेको छ।

खाता र सत्र: निष्क्रिय गर्नु बाहिर निकाल्नु जस्तै होइन

डाइरेक्टरी वा SSO लगइन प्रमाणीकरणको समयमा जाँचिन्छ। खाता निष्क्रिय गर्दा अर्को लगइन रोकिन्छ, तर रिफ्रेस टोकन र स्थापित टनेल समाप्त नभएसम्म काम गरिरहन सक्छ। त्यो प्रयोगकर्ताका सत्र र टोकन रद्द गर्नुहोस्, वा पहिचान प्रदायकले समर्थन गर्छ भने सत्र संस्करण बढाउनुहोस्। हराएको यन्त्र MFA दर्ताबाट पनि हटाउनुहोस्, किनकि दर्ता गरिएको प्रमाणक आफैंमा एउटा पहुँच मार्ग हो।

RADIUS-आधारित VPN ले सक्रिय सत्र खसाल्न डिस्कनेक्ट सन्देश वा अधिकार परिवर्तन पठाउन सक्छ, तर हरेक नेटवर्क पहुँच सर्भरले त्यो पालना गर्दैन। शंका भए सर्भरको तर्फबाट प्रयोगकर्ताको सत्र अन्त्य गर्नुहोस् र लगमा पुरानो सत्र बन्द भएको पुष्टि गर्नुहोस्।

अर्को एक घण्टाका लागि कार्यको क्रम

ग्राहकबाट होइन, इन्भेन्टरीबाट सुरु गर्नुहोस्: यन्त्रसँग जोडिएको हरेक पहिचान सूचीबद्ध गर्नुहोस्, त्यो सहकर्मी कुञ्जी होस्, प्रमाणपत्र क्रमांक होस् वा खाता। जडान बन्ने क्रममा हरेक जारी गर्ने प्रणालीमा रद्द गर्नुहोस्, अर्थात् पहिले खाता, त्यसपछि प्रमाणपत्र, त्यसपछि सहकर्मी। त्यसपछि तपाईंले नियन्त्रण गर्ने मेसिनबाट अस्वीकार सिद्ध गर्नुहोस्।

दुई पछिल्ला काम बिर्सन सजिलो छ। पहिलो, यन्त्रमा भएका अरू सबै कुरा बदल्नुहोस्, विशेष गरी SSH कुञ्जी, क्लाउड कन्सोल प्रमाणपत्र र साझा WireGuard पूर्व-साझा कुञ्जी। दोस्रो, कन्फिगरेसन व्यवस्थापन, स्न्यापसट वा गोल्डेन इमेजले अर्को पुनर्निर्माणमा हटाइएको ग्राहक फर्काउन नसक्ने पुष्टि गर्नुहोस्।

दिगो समाधान हरेक यन्त्रका लागि एउटा पहिचान हो। जब हरेक ल्यापटपले आफ्नै सहकर्मी कुञ्जी वा प्रमाणपत्र बोक्छ, हराउनुको मूल्य पूरै बेडाको पुनर्निर्माणको साटो एउटा रद्द आदेश र एउटा पुनःजारी हुन्छ।