పోయిన VPN పరికరాన్ని రద్దు చేయడం: కీ, సర్టిఫికెట్ లేదా ఖాతా

మీ ల్యాప్టాప్ పోయింది, మరియు VPN ఇంకా దాన్ని క్లయింట్గా జాబితా చేస్తోంది. అత్యవసర ప్రశ్న మీ వద్ద లేని యంత్రంలో ప్రొఫైల్ను ఎలా తొలగించాలనేది కాదు, సర్వర్ ఇంకా ఏ గుర్తింపును అంగీకరిస్తుందనేది. WireGuard పబ్లిక్ కీని తనిఖీ చేస్తుంది, PKI ఆధారిత OpenVPN సెటప్ క్లయింట్ సర్టిఫికెట్ను తనిఖీ చేస్తుంది, SSO ఉన్న VPN ఖాతాను మరియు దాని సెషన్ టోకెన్ను తనిఖీ చేస్తుంది. ఈ మూడూ వేర్వేరు ప్రదేశాల్లో, వేర్వేరు వేగంతో రద్దవుతాయి, ఒకటి సరిచేసి మిగతావాటిని పట్టించుకోకపోవడమే పోయిన పరికరం కనెక్ట్ అయి ఉండడానికి కారణం.

మూడు గుర్తింపులు మరియు ప్రతి ఒక్కటి ఏమి నియంత్రిస్తుంది

ప్రతి యంత్రాంగం వేరే ప్రశ్నకు సమాధానం ఇస్తుంది. పీర్ కీ ఇది మీరు నమోదు చేసిన యంత్రమా అని సమాధానం ఇస్తుంది. సర్టిఫికెట్ దాన్ని మీ CA సంతకం చేసిందా, రద్దు కాలేదా అని సమాధానం ఇస్తుంది. ఖాతా ఈ వ్యక్తి తగినంత ఇటీవల ప్రామాణీకరించారా అని సమాధానం ఇస్తుంది. రెండు పొరలను ఒకదానిపై ఒకటి పెట్టే అమరిక, ఉదాహరణకు సర్టిఫికెట్తో డైరెక్టరీ లాగిన్, పరికరానికి ఏదైనా ఇచ్చిన ప్రతి పొరకు దాన్ని అంగీకరించడం ఆపమని చెప్పినప్పుడే తలుపు మూస్తుంది.

ఆచరణాత్మక ఉచ్చు ఏమిటంటే, పోయిన యంత్రం ప్రతి ఆధారపత్రం యొక్క ప్రైవేట్ సగాన్ని ఉంచుకుంటుంది, కాబట్టి మీరు స్థానికంగా చేసేది ఏదీ సర్వర్కు చేరదు.

WireGuard: రద్దు జాబితా లేనందున పీర్ను తొలగించండి

WireGuard ఎలాంటి నిషేధ జాబితాను ఉంచదు. ఇంటర్ఫేస్ పీర్లుగా కాన్ఫిగర్ చేసిన పబ్లిక్ కీలను సరిగ్గా అంగీకరిస్తుంది, కాబట్టి రద్దు అంటే తొలగింపు: wg set wg0 peer <public-key> remove అమలు చేయండి, ఈ రూపం wg(8) లో పత్రీకరించబడింది, ఆపై wg0.conf నుండి సరిపోలే [Peer] బ్లాక్ను తొలగించండి. రెండూ చేయండి. రన్టైమ్లో మాత్రమే తొలగింపు తదుపరి రీబూట్ లేదా కాన్ఫిగ్ మళ్లీ లోడ్ అయ్యే వరకు నిలుస్తుంది, అప్పుడు ఫైల్ కీని తిరిగి పెడుతుంది.

ఉన్న సెషన్లు చనిపోవడానికి టైమర్ అవసరం లేదు. పీర్ను తొలగించడం దాని హ్యాండ్షేక్ మరియు కీ మెటీరియల్ను వదిలేస్తుంది, కాబట్టి చెల్లుబాటు అయ్యే కీ జత మళ్లీ అవసరమైన వెంటనే ట్రాఫిక్ ఆగిపోతుంది. సర్వర్లో wg show wg0 latest-handshakes తనిఖీ చేయండి: పోయిన కీ నమోదు మాయమై మాయమైనట్టే ఉండాలి, మిగతా పీర్లు ఇటీవలి యుగాలను నివేదిస్తూనే ఉంటాయి.

ఒక హెచ్చరిక కనిపించే దానికంటే ముఖ్యం. ఎవరో ఒక కాన్ఫిగ్ ఫైల్ను కాపీ చేసినందున పోయిన పరికరం ఇతర పరికరాలతో కీని పంచుకుంటే, ఆ కీని తొలగించడం వాటన్నింటినీ డిస్కనెక్ట్ చేస్తుంది; ఇది ఇప్పటికీ సరైన చర్య, తర్వాత పంచుకున్న కీని పునరుద్ధరించకుండా ప్రతి పరికరానికి విడిగా కీ జారీ చేయండి.

సర్టిఫికెట్లు: CRL డీమన్ చదివితేనే లెక్కలోకి వస్తుంది

సర్టిఫికెట్ ఆధారిత ప్రాప్యత ప్రజలు దాటవేసే ఒక దశను జోడిస్తుంది. easyrsa revoke laptop-01 CA డేటాబేస్లో సర్టిఫికెట్ను రద్దు చేయబడినట్టు గుర్తిస్తుంది, కానీ VPN ఆ డేటాబేస్ నుండి ఏమీ నేర్చుకోదు. తర్వాత మీరు easyrsa gen-crl అమలు చేసి crl.pem రాస్తారు, దాన్ని సర్వర్ యొక్క crl-verify ఎంపికలో పేర్కొన్న మార్గానికి కాపీ చేస్తారు, నడుస్తున్న డీమన్ కొత్త ఫైల్ను ఉపయోగిస్తున్నట్టు నిర్ధారిస్తారు. CRL ను తిరిగి సృష్టించి పంపిణీ చేయకుండా రద్దు చేయడం ప్రభావరహితం.

సమయం రెండవ సగం. క్లయింట్ కనెక్ట్ అయినప్పుడు లేదా మళ్లీ చర్చలు జరిపినప్పుడు CRL సంప్రదించబడుతుంది, కాబట్టి స్థాపించిన సొరంగం అప్పటి వరకు ఫార్వార్డ్ చేయడం కొనసాగించవచ్చు. పరికరాన్ని వెంటనే కత్తిరించాల్సి ఉంటే, తదుపరి హ్యాండ్షేక్ కోసం వేచి ఉండకుండా OpenVPN నిర్వహణ ఇంటర్ఫేస్ ద్వారా ఆ సెషన్ను స్పష్టంగా ముగించండి. సేవను మళ్లీ లోడ్ చేయడం లేదా పునఃప్రారంభించడం, అమరిక CRL ను ఎలా లోడ్ చేస్తుందనే దానిపై ఆధారపడి ఉంటుంది, మార్పులో భాగమే తప్ప ఐచ్ఛిక అదనం కాదు.

మరొక యంత్రం నుండి తనిఖీ చేయడం విలువైనది: రద్దు చేసిన సర్టిఫికెట్ను ప్రదర్శించి హ్యాండ్షేక్ వైఫల్యాన్ని ఆశించండి, సాధారణంగా VERIFY ERROR: depth=0, error=certificate revoked. కనెక్షన్ ఇంకా విజయవంతమైతే, క్లయింట్ మీరు నవీకరించిన దానికంటే వేరే CRL చదువుతోంది.

ఖాతాలు మరియు సెషన్లు: నిష్క్రియం చేయడం బయటకు గెంటడం కాదు

డైరెక్టరీ లేదా SSO లాగిన్లు ప్రామాణీకరణ సమయంలో తనిఖీ చేయబడతాయి. ఖాతాను నిష్క్రియం చేయడం తదుపరి లాగిన్ను నిరోధిస్తుంది, కానీ రిఫ్రెష్ టోకెన్ మరియు స్థాపించిన సొరంగం గడువు ముగిసే వరకు పనిచేయడం కొనసాగించవచ్చు. ఆ వినియోగదారు సెషన్లు మరియు టోకెన్లను రద్దు చేయండి, లేదా గుర్తింపు ప్రదాత మద్దతు ఇస్తే సెషన్ వెర్షన్ను పెంచండి. పోయిన పరికరాన్ని MFA నమోదు నుండి కూడా తొలగించండి, ఎందుకంటే నమోదు చేసిన ప్రామాణీకరణి తానే ఒక ప్రాప్యత మార్గం.

RADIUS ఆధారిత VPN లు సక్రియ సెషన్ను పడగొట్టడానికి డిస్కనెక్ట్ సందేశం లేదా అనుమతి మార్పు పంపగలవు, కానీ ప్రతి నెట్వర్క్ ప్రాప్యత సర్వర్ దాన్ని పాటించదు. సందేహం ఉంటే సర్వర్ వైపు నుండి వినియోగదారు సెషన్ను ముగించి, పాత సెషన్ మూసివేయబడిందని లాగ్లలో నిర్ధారించండి.

తదుపరి ఒక గంటకు చర్యల క్రమం

క్లయింట్ నుండి కాదు, ఇన్వెంటరీ నుండి ప్రారంభించండి: పరికరానికి ముడిపడిన ప్రతి గుర్తింపును జాబితా చేయండి, అది పీర్ కీ, సర్టిఫికెట్ క్రమ సంఖ్య లేదా ఖాతా కావచ్చు. కనెక్షన్ నిర్మించే క్రమంలో ప్రతి జారీ చేసే వ్యవస్థలో రద్దు చేయండి, అంటే మొదట ఖాతా, తర్వాత సర్టిఫికెట్, తర్వాత పీర్. తర్వాత మీరు నియంత్రించే యంత్రం నుండి తిరస్కారాన్ని నిరూపించండి.

రెండు తదుపరి పనులను మరచిపోవడం సులభం. మొదట, పరికరం ఉంచిన మిగతా అన్నింటినీ మార్చండి, ముఖ్యంగా SSH కీలు, క్లౌడ్ కన్సోల్ ఆధారపత్రాలు మరియు పంచుకున్న WireGuard ముందస్తు పంచుకున్న కీ. రెండవది, కాన్ఫిగరేషన్ నిర్వహణ, స్నాప్షాట్లు లేదా గోల్డెన్ ఇమేజ్లు తదుపరి పునర్నిర్మాణంలో తొలగించిన క్లయింట్ను తిరిగి తీసుకురాలేవని తనిఖీ చేయండి.

శాశ్వత పరిష్కారం ప్రతి పరికరానికి ఒక గుర్తింపు. ప్రతి ల్యాప్టాప్ తన సొంత పీర్ కీ లేదా సర్టిఫికెట్ను మోసుకెళ్ళినప్పుడు, నష్టం మొత్తం నౌకాదళాన్ని పునర్నిర్మించడం కాకుండా ఒక రద్దు ఆదేశం మరియు ఒక పునర్జారీ ఖర్చుతో మాత్రమే.