Azure Point-to-Site کا ایک کلائنٹ سرٹیفکیٹ منسوخ کرنے کا طریقہ

Azure Point-to-Site کے ایک کلائنٹ کو منسوخ کرنے کا مطلب اس کے فنگر پرنٹ کو گیٹ وے کی منسوخ فہرست میں شامل کرنا ہے۔ اس کا مطلب قابلِ اعتماد روٹ کو حذف کرنا نہیں ہے۔ روٹ ہر اس کلائنٹ سرٹیفکیٹ کا جاری کرنے والا ہے جو آپ نے کبھی دیا، اس لیے اسے ہٹانا ایک مختلف عمل ہے جس کا اثر بہت زیادہ وسیع ہے۔ یہاں منسوخی کی اکائی صرف ایک سرٹیفکیٹ ہے۔

مرحلہ 1: طے کریں کہ کون سا سرٹیفکیٹ مراد ہے

ظاہری نام سے نہیں، سرٹیفکیٹ ریکارڈ سے شروع کریں۔ Azure وہ دوستانہ نام دکھاتا ہے جو آپ نے خود لکھا ہو، اور اس لیبل کا موضوع یا جس ڈیوائس کے لیے یہ جاری ہوا اس سے میل کھانا ضروری نہیں۔

منسوخ کرنے سے پہلے ایک اور جانچ: معلوم کریں کہ کتنے ڈیوائس اسے پیش کرتے ہیں۔ اگر کئی لیپ ٹاپ ایک ہی PFX کی کاپیوں سے بنائے گئے ہیں تو فنگر پرنٹ منسوخ کرنے سے وہ سب بند ہو جائیں گے، اور Azure کے پاس کھوئے ہوئے کو دراز میں پڑے متبادل سے الگ پہچاننے کا کوئی طریقہ نہیں۔

کلائنٹ پر، Get-ChildItem Cert:\CurrentUser\My | Select-Object Subject, Thumbprint, NotAfter اس صارف کے لیے کیا انسٹال ہے اس کی فہرست دیتا ہے، اور Cert:\LocalMachine\My کو بھی جانچنا مناسب ہے کیونکہ VPN کلائنٹ دونوں میں سے کسی بھی اسٹور سے منتخب کر سکتا ہے۔ فنگر پرنٹ کا موازنہ اپنی رجسٹریشن فہرست سے کریں۔ تجدید شدہ سرٹیفکیٹ کا فنگر پرنٹ مختلف ہوتا ہے، چاہے موضوع یکساں ہو۔

عوامی سرٹیفکیٹ کا فنگر پرنٹ پڑھنے کے لیے آپ کو کلائنٹ کی نجی کلید یا پاس ورڈ سے محفوظ PFX کی ضرورت نہیں۔ جو طریقہ بھی ان میں سے کسی ایک کا تقاضا کرے وہ کسی اور کام سے نقل کیا گیا ہے۔

مرحلہ 2: اسے گیٹ وے کی منسوخ فہرست میں شامل کریں

پورٹل میں ورچوئل نیٹ ورک گیٹ وے کھولیں، پھر Point-to-site کنفیگریشن، پھر منسوخ سرٹیفکیٹس کا حصہ۔ ایسا دوستانہ نام شامل کریں جو چھ ماہ بعد بھی پہچان سکیں اور خالی جگہیں ہٹا کر فنگر پرنٹ کو ایک مسلسل سٹرنگ کے طور پر چسپاں کریں۔

محفوظ کرنے سے پہلے جانچیں کہ کون سا گیٹ وے منتخب ہے، کیونکہ کئی گیٹ ویز والی سبسکرپشن ہی وہ جگہ ہے جہاں یہ غلط ہوتا ہے۔ Microsoft کی سرٹیفکیٹ کنفیگریشن گائیڈ بتاتی ہے کہ اپ ڈیٹ مکمل ہونے کے بعد سرٹیفکیٹ کو جڑنے کے لیے استعمال نہیں کیا جا سکتا۔

پورٹل کی اطلاع پر بھروسہ کرنے کے بجائے بعد میں محفوظ قدر کی تصدیق کریں: az network vnet-gateway show --name gw-p2s --resource-group rg-vpn --query "vpnClientConfiguration.vpnClientRevokedCertificates" دکھاتا ہے کہ گیٹ وے واقعی کیا رکھتا ہے۔

مرحلہ 3: دونوں سمتوں کی تصدیق کریں

منسوخ شدہ سرٹیفکیٹ کے ساتھ انکار کی جانچ کریں، پھر جانچیں کہ اسی روٹ کے تحت دوسرا سرٹیفکیٹ اب بھی توثیق کرتا ہے۔ وہی دوسرا ٹیسٹ لوگ چھوڑ دیتے ہیں، اور وہی حادثاتی طور پر روٹ ہٹانے یا کسی کے نہ بتائے پالیسی تبدیلی کو پکڑتا ہے۔ ایسا ڈیوائس استعمال کریں جہاں آپ دیکھ سکیں کہ کون سا سرٹیفکیٹ پیش کیا جا رہا ہے۔ کئی سرٹیفکیٹ رکھنے والا کلائنٹ خاموشی سے کام کرنے والا استعمال کر کے آپ کی منسوخی کو ٹوٹا ہوا دکھا سکتا ہے۔

دونوں نتائج ٹکٹ میں درج کریں۔ صرف انکار کی سمت میں تصدیق شدہ منسوخی آدھی تصدیق شدہ ہے۔

مرحلہ 4: پہلے سے کھلے سیشن

درج شدہ نتیجہ نئے کنکشن کے بارے میں ہے۔ اسے اس وعدے تک نہ بڑھائیں کہ فہرست محفوظ ہونے کے لمحے ہر موجودہ ٹنل گر جائے گا۔ اگر فوری ہٹانا اہم ہے تو وہ کنٹرول استعمال کریں جو آپ کی تعینات کنفیگریشن واقعی دیتی ہے اور فرض کرنے کے بجائے مخصوص سیشن کی جانچ کریں۔

اس کی جانچ توثیق سے الگ کریں، کیونکہ دونوں مختلف جگہوں پر ناکام ہوتے ہیں اور مختلف شواہد چھوڑتے ہیں۔

واپسی، اور جن شارٹ کٹ سے بچنا چاہیے

واپسی کا مطلب فنگر پرنٹ کو منسوخ فہرست سے ہٹانا اور اسی اپ ڈیٹ کے مکمل ہونے کا انتظار کرنا ہے۔ جب آپ نے غلط اندراج منسوخ کیا ہو تو یہ محفوظ ہے، اور جب سرٹیفکیٹ واقعی متاثر ہوا ہو تو یہ خطرناک ہے، اس لیے پہلے طے کریں کہ آپ کس صورت میں ہیں۔ قابلِ اعتماد روٹ حذف کرنا ایک گمشدہ لیپ ٹاپ کے لیے شارٹ کٹ نہیں ہے۔ ایک مشین پر مقامی VPN پروفائل حذف کرنے سے یہ نہیں بدلتا کہ کوئی گیٹ وے کیا قبول کرتا ہے۔

اگر شناخت دوسرے گیٹ وے پر بھی توثیق کرتی ہے تو دونوں کو یکساں سلوک چاہیے۔ منسوخ فہرست گیٹ وے کی ہے، سبسکرپشن کی نہیں۔