தொலைந்த VPN சாதனத்தை ரத்து செய்வது: விசை, சான்றிதழ் அல்லது கணக்கு

உங்கள் மடிக்கணினி போய்விட்டது, VPN இன்னும் அதை வாடிக்கையாளராகப் பட்டியலிடுகிறது. அவசரக் கேள்வி, உங்களிடம் இல்லாத இயந்திரத்தில் சுயவிவரத்தை எப்படி அழிப்பது என்பதல்ல, மாறாக சேவையகம் இன்னும் எந்த அடையாளத்தை ஏற்கிறது என்பதே. WireGuard பொது விசையைச் சரிபார்க்கிறது, PKI அடிப்படையிலான OpenVPN அமைப்பு வாடிக்கையாளர் சான்றிதழைச் சரிபார்க்கிறது, SSO உள்ள VPN கணக்கையும் அதன் அமர்வு டோக்கனையும் சரிபார்க்கிறது. இம்மூன்றும் வெவ்வேறு இடங்களில், வெவ்வேறு வேகத்தில் ரத்தாகின்றன, ஒன்றைச் சரிசெய்து மற்றவற்றைப் புறக்கணிப்பதே தொலைந்த சாதனம் இணைக்கப்பட்டே இருக்கக் காரணம்.

மூன்று அடையாளங்கள் மற்றும் ஒவ்வொன்றும் கட்டுப்படுத்துவது

ஒவ்வொரு முறையும் வேறு கேள்விக்குப் பதிலளிக்கிறது. சக விசை இது நீங்கள் பதிவு செய்த இயந்திரமா என்று பதிலளிக்கிறது. சான்றிதழ் அது உங்கள் CA ஆல் கையொப்பமிடப்பட்டதா, ரத்து செய்யப்படவில்லையா என்று பதிலளிக்கிறது. கணக்கு இந்த நபர் போதுமான அண்மையில் அங்கீகரிக்கப்பட்டாரா என்று பதிலளிக்கிறது. இரண்டு அடுக்குகளை ஒன்றின் மேல் ஒன்றாக வைக்கும் பயன்பாடு, எடுத்துக்காட்டாக சான்றிதழுடன் அடைவு உள்நுழைவு, சாதனத்திற்கு ஏதாவது வழங்கிய ஒவ்வொரு அடுக்குக்கும் அதை ஏற்பதை நிறுத்தச் சொன்னால் மட்டுமே கதவை மூடுகிறது.

நடைமுறைப் பொறி என்னவென்றால், காணாமற்போன இயந்திரம் ஒவ்வொரு உள்நுழைவுச் சான்றின் தனிப்பட்ட பாதியை வைத்திருக்கிறது, எனவே நீங்கள் உள்ளூரில் செய்வது எதுவும் சேவையகத்தை அடையாது.

WireGuard: ரத்து பட்டியல் இல்லாததால் சகனை அகற்றுங்கள்

WireGuard எந்தத் தடைப் பட்டியலையும் வைத்திருக்காது. இடைமுகம் சகர்களாக அமைக்கப்பட்ட பொது விசைகளை மட்டுமே ஏற்கிறது, எனவே ரத்து என்பது நீக்கமே: wg set wg0 peer <public-key> remove இயக்கவும், இந்த வடிவம் wg(8) இல் ஆவணப்படுத்தப்பட்டுள்ளது, பின்னர் wg0.conf இலிருந்து பொருந்தும் [Peer] தொகுதியை நீக்கவும். இரண்டையும் செய்யுங்கள். இயக்க நேரத்தில் மட்டும் அகற்றுவது அடுத்த மறுதொடக்கம் அல்லது உள்ளமைவு மறுஏற்றம் வரை நீடிக்கும், அப்போது கோப்பு விசையை மீண்டும் வைக்கும்.

இருக்கும் அமர்வுகள் இறக்க நேரங்காட்டி தேவையில்லை. சகனை அகற்றுவது அதன் கைக்குலுக்கல் மற்றும் விசைப் பொருளை விட்டுவிடுகிறது, எனவே செல்லுபடியான விசை இணை மீண்டும் தேவைப்படும்போதே போக்குவரத்து நிற்கிறது. சேவையகத்தில் wg show wg0 latest-handshakes சரிபார்க்கவும்: தொலைந்த விசையின் பதிவு மறைந்து மறைந்தே இருக்க வேண்டும், மற்ற சகர்கள் அண்மைய சகாப்தங்களைத் தொடர்ந்து தெரிவிக்கும்.

ஒரு எச்சரிக்கை தோற்றத்தை விட முக்கியமானது. யாரோ ஒரு உள்ளமைவு கோப்பை நகலெடுத்ததால் தொலைந்த சாதனம் மற்ற சாதனங்களுடன் விசையைப் பங்கிட்டிருந்தால், அந்த விசையை அகற்றுவது அவை அனைத்தையும் துண்டிக்கும்; அதுவே சரியான நடவடிக்கை, பின்னர் பங்கிடப்பட்ட விசையை மீட்டெடுக்காமல் ஒவ்வொரு சாதனத்திற்கும் தனித்தனி விசையை வழங்குங்கள்.

சான்றிதழ்கள்: CRL டீமன் அதைப் படித்தால் மட்டுமே கணக்கில் எடுக்கப்படும்

சான்றிதழ் அடிப்படையிலான அணுகல் மக்கள் தவிர்க்கும் ஒரு படியைச் சேர்க்கிறது. easyrsa revoke laptop-01 CA தரவுத்தளத்தில் சான்றிதழை ரத்து செய்யப்பட்டதாகக் குறிக்கிறது, ஆனால் VPN அந்தத் தரவுத்தளத்திலிருந்து எதையும் கற்றுக்கொள்ளாது. பின்னர் நீங்கள் easyrsa gen-crl இயக்கி crl.pem எழுதுகிறீர்கள், அதை சேவையகத்தின் crl-verify விருப்பத்தில் குறிப்பிடப்பட்ட பாதைக்கு நகலெடுக்கிறீர்கள், இயங்கும் டீமன் புதிய கோப்பைப் பயன்படுத்துவதை உறுதிசெய்கிறீர்கள். CRL ஐ மீண்டும் உருவாக்கி விநியோகிக்காமல் ரத்து செய்வது பயனற்றது.

நேரம் இரண்டாவது பாதி. வாடிக்கையாளர் இணையும்போது அல்லது மீண்டும் பேச்சுவார்த்தை நடத்தும்போது CRL பார்க்கப்படுகிறது, எனவே நிறுவப்பட்ட சுரங்கப்பாதை அதுவரை அனுப்பலைத் தொடரலாம். சாதனத்தை உடனடியாகத் துண்டிக்க வேண்டுமானால், அடுத்த கைக்குலுக்கலைக் காத்திருக்காமல் OpenVPN நிர்வாக இடைமுகம் வழியாக அந்த அமர்வை வெளிப்படையாக முடிக்கவும். சேவையை மீண்டும் ஏற்றுவது அல்லது மறுதொடக்கம் செய்வது, பயன்பாடு CRL ஐ எவ்வாறு ஏற்றுகிறது என்பதைப் பொறுத்தது, மாற்றத்தின் பகுதியே தவிர விருப்பக் கூடுதல் அல்ல.

மற்றொரு இயந்திரத்திலிருந்து சரிபார்ப்பது மதிப்புள்ளது: ரத்து செய்யப்பட்ட சான்றிதழை வழங்கி கைக்குலுக்கல் தோல்வியை எதிர்பாருங்கள், பொதுவாக VERIFY ERROR: depth=0, error=certificate revoked. இணைப்பு இன்னும் வெற்றியடைந்தால், வாடிக்கையாளர் நீங்கள் புதுப்பித்ததை விட வேறு CRL ஐப் படிக்கிறது.

கணக்குகள் மற்றும் அமர்வுகள்: முடக்குவது வெளியேற்றுவதற்கு சமமல்ல

அடைவு அல்லது SSO உள்நுழைவுகள் அங்கீகார நேரத்தில் சரிபார்க்கப்படுகின்றன. கணக்கை முடக்குவது அடுத்த உள்நுழைவைத் தடுக்கிறது, ஆனால் புதுப்பிப்பு டோக்கனும் நிறுவப்பட்ட சுரங்கப்பாதையும் காலாவதியாகும் வரை தொடர்ந்து செயல்படலாம். அந்தப் பயனரின் அமர்வுகளையும் டோக்கன்களையும் ரத்து செய்யுங்கள், அல்லது அடையாள வழங்குநர் ஆதரித்தால் அமர்வு பதிப்பை உயர்த்துங்கள். தொலைந்த சாதனத்தை MFA பதிவிலிருந்தும் அகற்றுங்கள், ஏனெனில் பதிவுசெய்யப்பட்ட அங்கீகரிப்பான் தானாகவே ஒரு அணுகல் பாதை.

RADIUS அடிப்படையிலான VPN கள் செயலில் உள்ள அமர்வை வீழ்த்த துண்டிப்புச் செய்தி அல்லது அனுமதி மாற்றத்தை அனுப்பலாம், ஆனால் ஒவ்வொரு பிணைய அணுகல் சேவையகமும் அதை மதிப்பதில்லை. சந்தேகம் இருந்தால் சேவையகப் பக்கத்திலிருந்து பயனரின் அமர்வை முடித்து, பழைய அமர்வு மூடப்பட்டதைப் பதிவுகளில் உறுதிசெய்யுங்கள்.

அடுத்த ஒரு மணி நேரத்திற்கான செயல்களின் வரிசை

வாடிக்கையாளரிடமிருந்து அல்ல, சரக்குப் பட்டியலிலிருந்து தொடங்குங்கள்: சாதனத்துடன் இணைந்த ஒவ்வொரு அடையாளத்தையும் பட்டியலிடுங்கள், அது சக விசையோ, சான்றிதழ் வரிசை எண்ணோ அல்லது கணக்கோ ஆக இருக்கலாம். இணைப்பு கட்டப்படும் வரிசையில் ஒவ்வொரு வழங்கும் முறையிலும் ரத்து செய்யுங்கள், அதாவது முதலில் கணக்கு, பின்னர் சான்றிதழ், பின்னர் சகன். பின்னர் நீங்கள் கட்டுப்படுத்தும் இயந்திரத்திலிருந்து மறுப்பை நிரூபியுங்கள்.

இரண்டு பின்தொடர் செயல்களை மறப்பது எளிது. முதலில், சாதனம் வைத்திருந்த மற்ற அனைத்தையும் மாற்றுங்கள், குறிப்பாக SSH விசைகள், மேகக் கன்சோல் உள்நுழைவுகள் மற்றும் பங்கிடப்பட்ட WireGuard முன்-பங்கு விசை. இரண்டாவது, உள்ளமைவு மேலாண்மை, ஸ்னாப்ஷாட்கள் அல்லது தங்கப் படங்கள் அடுத்த மறுகட்டமைப்பில் அகற்றப்பட்ட வாடிக்கையாளரை மீண்டும் கொண்டுவர முடியாது என்பதைச் சரிபார்க்கவும்.

நீடித்த தீர்வு ஒவ்வொரு சாதனத்திற்கும் ஒரு அடையாளம். ஒவ்வொரு மடிக்கணினியும் அதன் சொந்த சக விசையையோ சான்றிதழையோ கொண்டு செல்லும்போது, இழப்பின் விலை முழுக் கப்பற்படையையும் மீண்டும் கட்டுவதற்குப் பதிலாக ஒரு ரத்துக் கட்டளையும் ஒரு மறுவழங்கலும் மட்டுமே.