ਗੁੰਮ ਹੋਇਆ VPN ਯੰਤਰ ਕਿਵੇਂ ਰੱਦ ਕਰੀਏ: ਕੁੰਜੀ, ਸਰਟੀਫਿਕੇਟ ਜਾਂ ਖਾਤਾ

ਤੁਹਾਡਾ ਲੈਪਟਾਪ ਚਲਾ ਗਿਆ ਹੈ, ਅਤੇ VPN ਅਜੇ ਵੀ ਇਸਨੂੰ ਕਲਾਇੰਟ ਵਜੋਂ ਸੂਚੀਬੱਧ ਕਰਦਾ ਹੈ। ਜ਼ਰੂਰੀ ਸਵਾਲ ਇਹ ਨਹੀਂ ਹੈ ਕਿ ਜਿਸ ਮਸ਼ੀਨ ਦੀ ਹੁਣ ਤੁਹਾਡੇ ਕੋਲ ਨਹੀਂ ਹੈ, ਉਸ 'ਤੇ ਪ੍ਰੋਫ਼ਾਈਲ ਕਿਵੇਂ ਮਿਟਾਈਏ, ਬਲਕਿ ਇਹ ਹੈ ਕਿ ਸਰਵਰ ਅਜੇ ਕਿਹੜੀ ਪਛਾਣ ਸਵੀਕਾਰ ਕਰਦਾ ਹੈ। WireGuard ਜਨਤਕ ਕੁੰਜੀ ਦੀ ਜਾਂਚ ਕਰਦਾ ਹੈ, PKI-ਅਧਾਰਿਤ OpenVPN ਸੈਟਅਪ ਕਲਾਇੰਟ ਸਰਟੀਫਿਕੇਟ ਦੀ ਜਾਂਚ ਕਰਦਾ ਹੈ, ਅਤੇ SSO ਵਾਲਾ VPN ਖਾਤੇ ਅਤੇ ਇਸਦੇ ਸੈਸ਼ਨ ਟੋਕਨ ਦੀ ਜਾਂਚ ਕਰਦਾ ਹੈ। ਇਹ ਤਿੰਨੇ ਵੱਖ-ਵੱਖ ਥਾਵਾਂ 'ਤੇ ਅਤੇ ਵੱਖ-ਵੱਖ ਰਫ਼ਤਾਰ ਨਾਲ ਰੱਦ ਹੁੰਦੇ ਹਨ, ਅਤੇ ਇੱਕ ਠੀਕ ਕਰਕੇ ਬਾਕੀਆਂ ਨੂੰ ਨਜ਼ਰਅੰਦਾਜ਼ ਕਰਨਾ ਹੀ ਉਹ ਤਰੀਕਾ ਹੈ ਜਿਸ ਨਾਲ ਗੁੰਮ ਯੰਤਰ ਜੁੜਿਆ ਰਹਿੰਦਾ ਹੈ।

ਤਿੰਨ ਪਛਾਣਾਂ ਅਤੇ ਹਰ ਇੱਕ ਕੀ ਨਿਯੰਤਰਿਤ ਕਰਦੀ ਹੈ

ਹਰ ਵਿਧੀ ਵੱਖਰੇ ਸਵਾਲ ਦਾ ਜਵਾਬ ਦਿੰਦੀ ਹੈ। ਪੀਅਰ ਕੁੰਜੀ ਦੱਸਦੀ ਹੈ ਕਿ ਕੀ ਇਹ ਉਹੀ ਮਸ਼ੀਨ ਹੈ ਜੋ ਤੁਸੀਂ ਦਰਜ ਕੀਤੀ। ਸਰਟੀਫਿਕੇਟ ਦੱਸਦਾ ਹੈ ਕਿ ਕੀ ਇਸ 'ਤੇ ਤੁਹਾਡੇ CA ਨੇ ਦਸਤਖ਼ਤ ਕੀਤੇ ਅਤੇ ਇਹ ਰੱਦ ਨਹੀਂ ਹੋਇਆ। ਖਾਤਾ ਦੱਸਦਾ ਹੈ ਕਿ ਕੀ ਇਸ ਵਿਅਕਤੀ ਨੇ ਹਾਲ ਹੀ ਵਿੱਚ ਲੋੜੀਂਦੀ ਪੁਸ਼ਟੀ ਕੀਤੀ। ਦੋ ਪਰਤਾਂ ਵਾਲੀ ਤੈਨਾਤੀ, ਜਿਵੇਂ ਸਰਟੀਫਿਕੇਟ ਨਾਲ ਡਾਇਰੈਕਟਰੀ ਲੌਗਇਨ, ਦਰਵਾਜ਼ਾ ਤਦ ਹੀ ਬੰਦ ਕਰਦੀ ਹੈ ਜਦੋਂ ਯੰਤਰ ਨੂੰ ਕੁਝ ਦੇਣ ਵਾਲੀ ਹਰ ਪਰਤ ਨੂੰ ਇਹ ਸਵੀਕਾਰ ਕਰਨਾ ਬੰਦ ਕਰਨ ਲਈ ਕਿਹਾ ਜਾਵੇ।

ਵਿਹਾਰਕ ਜਾਲ ਇਹ ਹੈ ਕਿ ਗਾਇਬ ਮਸ਼ੀਨ ਹਰ ਪ੍ਰਮਾਣ-ਪੱਤਰ ਦਾ ਨਿੱਜੀ ਅੱਧਾ ਹਿੱਸਾ ਰੱਖਦੀ ਹੈ, ਇਸ ਲਈ ਤੁਸੀਂ ਸਥਾਨਕ ਤੌਰ 'ਤੇ ਜੋ ਵੀ ਕਰੋ, ਸਰਵਰ ਤੱਕ ਨਹੀਂ ਪਹੁੰਚਦਾ।

WireGuard: ਪੀਅਰ ਹਟਾਓ, ਕਿਉਂਕਿ ਕੋਈ ਰੱਦ ਸੂਚੀ ਨਹੀਂ ਹੈ

WireGuard ਕੋਈ ਪਾਬੰਦੀ ਸੂਚੀ ਨਹੀਂ ਰੱਖਦਾ। ਇੰਟਰਫ਼ੇਸ ਉਹੀ ਜਨਤਕ ਕੁੰਜੀਆਂ ਸਵੀਕਾਰ ਕਰਦਾ ਹੈ ਜੋ ਪੀਅਰ ਵਜੋਂ ਸੰਰਚਿਤ ਹਨ, ਇਸ ਲਈ ਰੱਦ ਕਰਨਾ ਮਤਲਬ ਮਿਟਾਉਣਾ: wg set wg0 peer <public-key> remove ਚਲਾਓ, ਇਹ ਰੂਪ wg(8) ਵਿੱਚ ਦਸਤਾਵੇਜ਼ੀ ਹੈ, ਫਿਰ wg0.conf ਵਿੱਚੋਂ ਮਿਲਦਾ [Peer] ਬਲਾਕ ਮਿਟਾਓ। ਦੋਵੇਂ ਕਰੋ। ਸਿਰਫ਼ ਰਨਟਾਈਮ ਵਿੱਚ ਹਟਾਉਣਾ ਅਗਲੀ ਰੀਬੂਟ ਜਾਂ ਕਾਨਫ਼ਿਗ ਮੁੜ ਲੋਡ ਹੋਣ ਤੱਕ ਰਹਿੰਦਾ ਹੈ, ਤਦ ਫ਼ਾਈਲ ਕੁੰਜੀ ਵਾਪਸ ਰੱਖ ਦਿੰਦੀ ਹੈ।

ਮੌਜੂਦਾ ਸੈਸ਼ਨਾਂ ਨੂੰ ਮਰਨ ਲਈ ਟਾਈਮਰ ਦੀ ਲੋੜ ਨਹੀਂ। ਪੀਅਰ ਹਟਾਉਣ ਨਾਲ ਇਸਦਾ ਹੈਂਡਸ਼ੇਕ ਅਤੇ ਕੁੰਜੀ ਸਮੱਗਰੀ ਛੱਡ ਦਿੱਤੀ ਜਾਂਦੀ ਹੈ, ਇਸ ਲਈ ਜਦੋਂ ਵੀ ਫਿਰ ਵੈਧ ਕੁੰਜੀ-ਜੋੜੀ ਲੋੜੀਂਦੀ ਹੋਵੇ, ਟ੍ਰੈਫ਼ਿਕ ਰੁੱਕ ਜਾਂਦਾ ਹੈ। ਸਰਵਰ 'ਤੇ wg show wg0 latest-handshakes ਜਾਂਚੋ: ਗੁੰਮ ਕੁੰਜੀ ਦੀ ਐਂਟਰੀ ਗਾਇਬ ਹੋਣੀ ਚਾਹੀਦੀ ਹੈ ਅਤੇ ਗਾਇਬ ਹੀ ਰਹਿਣੀ ਚਾਹੀਦੀ ਹੈ, ਜਦੋਂ ਕਿ ਬਾਕੀ ਪੀਅਰ ਹਾਲੀਆ ਯੁੱਗ ਦੱਸਦੇ ਰਹਿੰਦੇ ਹਨ।

ਇੱਕ ਚੇਤਾਵਨੀ ਦਿਸਣ ਨਾਲੋਂ ਵੱਧ ਮਹੱਤਵਪੂਰਨ ਹੈ। ਜੇ ਗੁੰਮ ਯੰਤਰ ਨੇ ਦੂਜੇ ਯੰਤਰਾਂ ਨਾਲ ਕੁੰਜੀ ਸਾਂਝੀ ਕੀਤੀ ਸੀ ਕਿਉਂਕਿ ਕਿਸੇ ਨੇ ਇੱਕ ਕਾਨਫ਼ਿਗ ਫ਼ਾਈਲ ਕਾਪੀ ਕੀਤੀ ਸੀ, ਤਾਂ ਉਹ ਕੁੰਜੀ ਹਟਾਉਣ ਨਾਲ ਉਹ ਸਾਰੇ ਡਿਸਕਨੈਕਟ ਹੋ ਜਾਂਦੇ ਹਨ; ਇਹ ਫਿਰ ਵੀ ਸਹੀ ਕਦਮ ਹੈ, ਅਤੇ ਬਾਅਦ ਵਿੱਚ ਸਾਂਝੀ ਕੁੰਜੀ ਬਹਾਲ ਕਰਨ ਦੀ ਥਾਂ ਹਰ ਯੰਤਰ ਲਈ ਵੱਖਰੀ ਕੁੰਜੀ ਜਾਰੀ ਕਰੋ।

ਸਰਟੀਫਿਕੇਟ: CRL ਤਦ ਹੀ ਗਿਣੀ ਜਾਂਦੀ ਹੈ ਜਦੋਂ ਡੈਮਨ ਇਸਨੂੰ ਪੜ੍ਹਦਾ ਹੈ

ਸਰਟੀਫਿਕੇਟ-ਅਧਾਰਿਤ ਪਹੁੰਚ ਇੱਕ ਕਦਮ ਜੋੜਦੀ ਹੈ ਜਿਸਨੂੰ ਲੋਕ ਛੱਡ ਦਿੰਦੇ ਹਨ। easyrsa revoke laptop-01 CA ਡੇਟਾਬੇਸ ਵਿੱਚ ਸਰਟੀਫਿਕੇਟ ਨੂੰ ਰੱਦ ਵਜੋਂ ਨਿਸ਼ਾਨਿਤ ਕਰਦਾ ਹੈ, ਪਰ VPN ਉਸ ਡੇਟਾਬੇਸ ਤੋਂ ਕੁਝ ਨਹੀਂ ਸਿੱਖਦਾ। ਫਿਰ ਤੁਸੀਂ easyrsa gen-crl ਚਲਾ ਕੇ crl.pem ਲਿਖਦੇ ਹੋ, ਇਸਨੂੰ ਸਰਵਰ ਦੇ crl-verify ਵਿਕਲਪ ਵਿੱਚ ਦੱਸੇ ਪਾਥ 'ਤੇ ਕਾਪੀ ਕਰਦੇ ਹੋ, ਅਤੇ ਪੁਸ਼ਟੀ ਕਰਦੇ ਹੋ ਕਿ ਚੱਲ ਰਿਹਾ ਡੈਮਨ ਨਵੀਂ ਫ਼ਾਈਲ ਵਰਤ ਰਿਹਾ ਹੈ। CRL ਨੂੰ ਮੁੜ ਬਣਾਏ ਅਤੇ ਵੰਡੇ ਬਿਨਾਂ ਰੱਦ ਕਰਨਾ ਬੇਅਸਰ ਹੈ।

ਸਮਾਂ ਦੂਜਾ ਅੱਧਾ ਹੈ। ਕਲਾਇੰਟ ਦੇ ਜੁੜਨ ਜਾਂ ਮੁੜ ਗੱਲਬਾਤ ਕਰਨ 'ਤੇ CRL ਵੇਖੀ ਜਾਂਦੀ ਹੈ, ਇਸ ਲਈ ਸਥਾਪਿਤ ਟਨਲ ਉਦੋਂ ਤੱਕ ਅੱਗੇ ਭੇਜਦੀ ਰਹਿ ਸਕਦੀ ਹੈ। ਜੇ ਯੰਤਰ ਨੂੰ ਤੁਰੰਤ ਕੱਟਣਾ ਹੈ, ਤਾਂ ਅਗਲੇ ਹੈਂਡਸ਼ੇਕ ਦੀ ਉਡੀਕ ਕਰਨ ਦੀ ਥਾਂ OpenVPN ਪ੍ਰਬੰਧਨ ਇੰਟਰਫ਼ੇਸ ਰਾਹੀਂ ਉਹ ਸੈਸ਼ਨ ਸਪਸ਼ਟ ਰੂਪ ਵਿੱਚ ਖ਼ਤਮ ਕਰੋ। ਸੇਵਾ ਨੂੰ ਮੁੜ ਲੋਡ ਜਾਂ ਰੀਸਟਾਰਟ ਕਰਨਾ, ਇਹ ਨਿਰਭਰ ਕਰਦਾ ਹੈ ਕਿ ਤੈਨਾਤੀ CRL ਨੂੰ ਕਿਵੇਂ ਲੋਡ ਕਰਦੀ ਹੈ, ਤਬਦੀਲੀ ਦਾ ਹਿੱਸਾ ਹੈ ਅਤੇ ਵਿਕਲਪਿਕ ਵਾਧਾ ਨਹੀਂ।

ਦੂਜੀ ਮਸ਼ੀਨ ਤੋਂ ਜਾਂਚ ਕਰਨਾ ਲਾਹੇਵੰਦ ਹੈ: ਰੱਦ ਕੀਤਾ ਸਰਟੀਫਿਕੇਟ ਪੇਸ਼ ਕਰੋ ਅਤੇ ਹੈਂਡਸ਼ੇਕ ਫੇਲ੍ਹ ਹੋਣ ਦੀ ਉਮੀਦ ਕਰੋ, ਆਮ ਤੌਰ 'ਤੇ VERIFY ERROR: depth=0, error=certificate revoked। ਜੇ ਕਨੈਕਸ਼ਨ ਫਿਰ ਵੀ ਸਫਲ ਹੁੰਦਾ ਹੈ, ਤਾਂ ਕਲਾਇੰਟ ਤੁਹਾਡੇ ਅੱਪਡੇਟ ਕੀਤੇ ਨਾਲੋਂ ਵੱਖਰੀ CRL ਪੜ੍ਹ ਰਿਹਾ ਹੈ।

ਖਾਤੇ ਅਤੇ ਸੈਸ਼ਨ: ਨਿਸ਼ਕਿਰਿਆ ਕਰਨਾ ਬਾਹਰ ਕੱਢਣਾ ਨਹੀਂ ਹੈ

ਡਾਇਰੈਕਟਰੀ ਜਾਂ SSO ਲੌਗਇਨ ਪੁਸ਼ਟੀਕਰਨ ਸਮੇਂ ਜਾਂਚੇ ਜਾਂਦੇ ਹਨ। ਖਾਤਾ ਨਿਸ਼ਕਿਰਿਆ ਕਰਨ ਨਾਲ ਅਗਲਾ ਲੌਗਇਨ ਰੁੱਕਦਾ ਹੈ, ਪਰ ਰਿਫ਼੍ਰੈਸ਼ ਟੋਕਨ ਅਤੇ ਸਥਾਪਿਤ ਟਨਲ ਸਮਾਪਤ ਹੋਣ ਤੱਕ ਕੰਮ ਕਰਦੇ ਰਹਿ ਸਕਦੇ ਹਨ। ਉਸ ਵਰਤੋਂਕਾਰ ਦੇ ਸੈਸ਼ਨ ਅਤੇ ਟੋਕਨ ਰੱਦ ਕਰੋ, ਜਾਂ ਜੇ ਪਛਾਣ ਪ੍ਰਦਾਤਾ ਸਮਰਥਨ ਕਰਦਾ ਹੈ ਤਾਂ ਸੈਸ਼ਨ ਸੰਸਕਰਣ ਵਧਾਓ। ਗੁੰਮ ਯੰਤਰ ਨੂੰ MFA ਦਰਜ ਤੋਂ ਵੀ ਹਟਾਓ, ਕਿਉਂਕਿ ਦਰਜ ਕੀਤਾ ਪ੍ਰਮਾਣਕ ਆਪਣੇ ਆਪ ਵਿੱਚ ਇੱਕ ਪਹੁੰਚ ਮਾਰਗ ਹੈ।

RADIUS-ਅਧਾਰਿਤ VPN ਸਰਗਰਮ ਸੈਸ਼ਨ ਸੁੱਟਣ ਲਈ ਡਿਸਕਨੈਕਟ ਸੁਨੇਹਾ ਜਾਂ ਅਧਿਕਾਰ ਤਬਦੀਲੀ ਭੇਜ ਸਕਦੇ ਹਨ, ਪਰ ਹਰ ਨੈੱਟਵਰਕ ਪਹੁੰਚ ਸਰਵਰ ਇਸਦੀ ਪਾਲਣਾ ਨਹੀਂ ਕਰਦਾ। ਸ਼ੱਕ ਹੋਵੇ ਤਾਂ ਸਰਵਰ ਵਾਲੇ ਪਾਸਿਓਂ ਵਰਤੋਂਕਾਰ ਦਾ ਸੈਸ਼ਨ ਖ਼ਤਮ ਕਰੋ ਅਤੇ ਲੌਗ ਵਿੱਚ ਪੁਸ਼ਟੀ ਕਰੋ ਕਿ ਪੁਰਾਣਾ ਸੈਸ਼ਨ ਬੰਦ ਹੋ ਗਿਆ।

ਅਗਲੇ ਇੱਕ ਘੰਟੇ ਲਈ ਕਾਰਵਾਈਆਂ ਦਾ ਕ੍ਰਮ

ਇਨਵੈਂਟਰੀ ਤੋਂ ਸ਼ੁਰੂ ਕਰੋ, ਕਲਾਇੰਟ ਤੋਂ ਨਹੀਂ: ਯੰਤਰ ਨਾਲ ਜੁੜੀ ਹਰ ਪਛਾਣ ਸੂਚੀਬੱਧ ਕਰੋ, ਭਾਵੇਂ ਪੀਅਰ ਕੁੰਜੀ, ਸਰਟੀਫਿਕੇਟ ਲੜੀ ਨੰਬਰ ਜਾਂ ਖਾਤਾ। ਜਿਸ ਕ੍ਰਮ ਵਿੱਚ ਕਨੈਕਸ਼ਨ ਬਣਦਾ ਹੈ, ਉਸੇ ਕ੍ਰਮ ਵਿੱਚ ਹਰ ਜਾਰੀ ਕਰਨ ਵਾਲੀ ਪ੍ਰਣਾਲੀ ਵਿੱਚ ਰੱਦ ਕਰੋ, ਯਾਨੀ ਪਹਿਲਾਂ ਖਾਤਾ, ਫਿਰ ਸਰਟੀਫਿਕੇਟ, ਫਿਰ ਪੀਅਰ। ਫਿਰ ਆਪਣੇ ਕਾਬੂ ਵਾਲੀ ਮਸ਼ੀਨ ਤੋਂ ਇਨਕਾਰ ਸਿੱਧ ਕਰੋ।

ਦੋ ਅਗਲੇ ਕੰਮ ਭੁੱਲਣੇ ਸੌਖੇ ਹਨ। ਪਹਿਲਾ, ਯੰਤਰ ਕੋਲ ਜੋ ਕੁਝ ਹੋਰ ਸੀ, ਉਹ ਬਦਲੋ, ਖ਼ਾਸਕਰ SSH ਕੁੰਜੀਆਂ, ਕਲਾਉਡ ਕੰਸੋਲ ਪ੍ਰਮਾਣ ਅਤੇ ਸਾਂਝੀ WireGuard ਪੂਰਵ-ਸਾਂਝੀ ਕੁੰਜੀ। ਦੂਜਾ, ਜਾਂਚੋ ਕਿ ਕਾਨਫ਼ਿਗਰੇਸ਼ਨ ਪ੍ਰਬੰਧਨ, ਸਨੈਪਸ਼ਾਟ ਜਾਂ ਗੋਲਡਨ ਇਮੇਜ ਅਗਲੀ ਮੁੜ ਉਸਾਰੀ ਵਿੱਚ ਹਟਾਏ ਕਲਾਇੰਟ ਨੂੰ ਵਾਪਸ ਨਹੀਂ ਲਿਆ ਸਕਦੇ।

ਟਿਕਾਊ ਹੱਲ ਹਰ ਯੰਤਰ ਲਈ ਇੱਕ ਪਛਾਣ ਹੈ। ਜਦੋਂ ਹਰ ਲੈਪਟਾਪ ਆਪਣੀ ਪੀਅਰ ਕੁੰਜੀ ਜਾਂ ਸਰਟੀਫਿਕੇਟ ਰੱਖਦਾ ਹੈ, ਤਾਂ ਗੁੰਮ ਹੋਣ ਦੀ ਕੀਮਤ ਪੂਰੇ ਬੇੜੇ ਦੀ ਮੁੜ ਉਸਾਰੀ ਦੀ ਥਾਂ ਇੱਕ ਰੱਦ ਹੁਕਮ ਅਤੇ ਇੱਕ ਮੁੜ ਜਾਰੀ ਹੁੰਦੀ ਹੈ।