د ورک شوي VPN وسیله لغوه کول: کیلي، سند یا حساب

ستاسو لیپټاپ ورک شو، او VPN لا هم هغه د کلاینټ په توګه لیستوي۔ بیړنۍ پوښتنه دا نه ده چې په هغه ماشین کې پروفایل څنګه ړنګ کړو چې نور یې نه لرئ، بلکې دا ده چې سرور لا کوم هویت مني۔ WireGuard عامه کیلي ګوري، د PKI پر بنسټ OpenVPN ترتیبات د کلاینټ سند ګوري، او SSO لرونکی VPN حساب او د هغه د غونډې ټوکن ګوري۔ دا درې واړه په بېلو ځایونو او بېلې چټکتیا سره لغوه کېږي، او یو سمول او نورو ته نه کتل هغه لار ده چې ورک شوې وسیله وصل پاتې کېږي۔

درې هویتونه او هر یو څه کنټرولوي

هر میکانیزم بلې پوښتنې ته ځواب وایي۔ د همکار کیلي ځواب وایي چې ایا دا هغه ماشین دی چې تاسو ثبت کړی۔ سند ځواب وایي چې ایا ستاسو CA لاسلیک کړی او لغوه شوی نه دی۔ حساب ځواب وایي چې ایا دا کس په کافي اندازه وروستی ځل تصدیق کړی۔ هغه ځای پرځای کول چې دوه یې پر یو بل تویوي، لکه سند او د لارښود ننوتل، دروازه یوازې هغه وخت بندوي چې وسیلې ته څه ورکړي هر پوړ ته وویل شي چې نور یې مه منئ۔

عملي تله دا ده چې ورکه ماشین د هر سند شخصي نیمه ساتي، نو تاسو چې په سیمه ییز ډول څه کوئ سرور ته نه رسېږي۔

WireGuard: همکار لرې کړئ، ځکه چې د لغوه کولو لیست نشته

WireGuard هېڅ د بندیز لیست نه ساتي۔ انټرفیس هغه عامه کیلي مني چې د همکارانو په توګه تنظیم شوي، نو لغوه کول یعنې ړنګول: wg set wg0 peer <public-key> remove چل کړئ، هغه بڼه چې په wg(8) کې مستنده ده، بیا له wg0.conf څخه سمونکی [Peer] بلاک ړنګ کړئ۔ دواړه وکړئ۔ یوازې د چلېدو پر مهال لرې کول تر بل ریبوټ یا د ترتیباتو تر بیا پورته کولو پورې پاتې کېږي، هغه وخت فایل کیلي بېرته ږدي۔

شته غونډې د مړ کېدو لپاره ټایمر ته اړتیا نه لري۔ د همکار لرې کول د هغه لاسروښانه او کیلي مواد غورځوي، نو ټرافیک هغه ساه بندېږي چې بیا سمه کیلي-جوړه اړینه شي۔ په سرور کې wg show wg0 latest-handshakes وګورئ: د ورکې کیلي ننوتنه باید ورکه شي او ورکه پاتې شي، پداسې حال کې چې نور همکاران لاهم وروستي دورې راپور کوي۔

یو خبرداری له ښکارېدو مهم دی۔ که ورکې وسیله له نورو وسیلو سره کیلي شریکه کړې وه ځکه چې یو چا یو د ترتیباتو فایل کاپي کړی و، نو د هغې کیلي لرې کول هغوی ټول قطع کوي؛ دا لاهم سم ګام دی، او وروسته د شریکې کیلي د بیا رغولو پر ځای د هر وسیلې لپاره جلا کیلي صادروئ۔

سندونه: CRL یوازې هغه وخت حساب کېږي چې ډیمون یې ولوستل شي

پر سند ولاړ لاسرسی یو ګام زیاتوي چې خلک یې پرېږدي۔ easyrsa revoke laptop-01 په CA ډیټابیس کې سند لغوه نښانوي، خو VPN له هغه ډیټابیس څخه هېڅ نه زده کوي۔ بیا تاسو easyrsa gen-crl چلوئ تر څو crl.pem ولیکئ، هغه د سرور د crl-verify اختیار کې نومول شوي لار ته کاپي کوئ، او تایید کوئ چې چلېدونکی ډیمون نوی فایل کاروي۔ پرته له بیا جوړولو او خپرولو CRL لغوه کول بې اغېزې دي۔

وخت دویمه نیمه ده۔ CRL هغه وخت کتل کېږي چې کلاینټ وصل شي یا بیا خبرې وکړي، نو جوړ شوی تونل تر هغه وخته تېرېدلای شي۔ که وسیله باید سمدلاسه پرې شي، هغه غونډه د OpenVPN د مدیریت انټرفیس له لارې په څرګند ډول پای ته ورسوئ، د بل لاسروښانې په تمه پاتې کېدو پر ځای۔ د خدمت بیا پورته کول یا بیا پیلول، د دې پورې اړه لري چې ځای پرځای کول CRL څنګه پورته کوي، د بدلون برخه ده او اختیاري زیاتونه نه ده۔

له بل ماشین څخه یې تاییدول ارزښت لري: لغوه شوی سند وړاندې کړئ او د لاسروښانې ناکامۍ هیلې وکړئ، معمولاً VERIFY ERROR: depth=0, error=certificate revoked۔ که اړیکه لاهم بریالۍ شي، کلاینټ له هغې جلا CRL لولي چې تاسو تازه کړې وه۔

حسابونه او غونډې: غیرفعالول له وتلو سره یو شان نه دي

د لارښود یا SSO ننوتل د تصدیق په وخت کې ګڼل کېږي۔ حساب غیرفعالول بل ننوتل بندوي، خو د تازه کولو ټوکن او جوړ شوی تونل کېدای شي تر پای وخت پورې کار وکړي۔ د هغه کارونکي غونډې او ټوکن لغوه کړئ، یا که د هویت برابرونکی یې ملاتړ کوي د غونډې نسخه لوړه کړئ۔ ورکه وسیله د MFA له ثبت څخه هم لرې کړئ، ځکه چې ثبت شوی تصدیق کوونکی پخپله د لاسرسي لار ده۔

د RADIUS پر بنسټ VPNونه کولای شي د فعالې غونډې د غورځولو لپاره د جلا کېدو پیغام یا د اجازې بدلون واستوي، خو هر د شبکې لاسرسي سرور یې نه مراعات کوي۔ کله چې شک وي، د کارونکي غونډه د سرور له خوا پای ته ورسوئ او په لاګونو کې تایید کړئ چې زړه غونډه بنده شوه۔

د بل ساعت لپاره د کړنو ترتیب

له انوینټري پیل کړئ، نه له کلاینټ: هره هغه هویت چې له وسلې سره تړلې ده ولیکئ، که همکار کیلي وي، که د سند سیریل شمېره وي یا حساب۔ په هر صادرونکي سیستم کې په هغه ترتیب لغوه کړئ چې اړیکه جوړېږي، یعنې لومړی حساب، بیا سند، بیا همکار۔ بیا د هغه ماشین څخه چې کنټرول یې لرئ رد ثابت کړئ۔

دوه وروستي کارونه اسانه هېرېږي۔ لومړی، هر بل څه بدل کړئ چې وسیلې درلودل، په ځانګړي ډول SSH کیلي، د کلاوډ کنسول اسناد او یوه شریکه WireGuard مخکې شریکه کیلي۔ دویم، وګورئ چې د ترتیباتو مدیریت، سنیپشاټونه یا طلایي عکسونه نشي کولای په بل جوړولو کې لرې شوی کلاینټ بېرته راوړي۔

دوامداره حل د هرې وسیلې لپاره یو هویت دی۔ کله چې هر لیپټاپ خپله همکار کیلي یا سند ولري، ورکېدل یوازې یو لغوه کولو حکم او یو بیا صادرولو ته لګښت دی، نه د ټولې بیړۍ بیا جوړولو ته۔