گمشدہ VPN ڈیوائس منسوخ کرنے کا طریقہ: کلید، سرٹیفکیٹ یا اکاؤنٹ

آپ کا لیپ ٹاپ گم ہو گیا ہے، اور VPN اب بھی اسے کلائنٹ کے طور پر درج کرتا ہے۔ فوری سوال یہ نہیں کہ جس مشین کے اب آپ مالک نہیں اس پر پروفائل کیسے حذف کریں، بلکہ یہ کہ سرور اب بھی کون سی شناخت قبول کرتا ہے۔ WireGuard عوامی کلید جانچتا ہے، PKI پر مبنی OpenVPN ترتیب کلائنٹ سرٹیفکیٹ جانچتی ہے، اور SSO والا VPN اکاؤنٹ اور اس کا سیشن ٹوکن جانچتا ہے۔ یہ تینوں مختلف جگہوں پر اور مختلف رفتار سے منسوخ ہوتے ہیں، اور ایک کو درست کرکے باقی کو نظرانداز کرنا ہی وہ طریقہ ہے جس سے گمشدہ ڈیوائس جڑا رہتا ہے۔

تین شناختیں اور ہر ایک کیا کنٹرول کرتی ہے

ہر طریقہ کار مختلف سوال کا جواب دیتا ہے۔ ساتھی کلید بتاتی ہے کہ کیا یہ وہی مشین ہے جو آپ نے رجسٹر کی۔ سرٹیفکیٹ بتاتا ہے کہ کیا اس پر آپ کے CA نے دستخط کیے اور وہ منسوخ نہیں ہوا۔ اکاؤنٹ بتاتا ہے کہ کیا اس شخص نے حال ہی میں کافی تصدیق کی۔ دو تہوں والی تعیناتی، مثلاً سرٹیفکیٹ کے ساتھ ڈائریکٹری لاگ ان، دروازہ تب ہی بند کرتی ہے جب ڈیوائس کو کچھ دینے والی ہر تہہ کو یہ قبول کرنا بند کرنے کو کہا جائے۔

عملی جال یہ ہے کہ گمشدہ مشین ہر سند کا نجی آدھا حصہ رکھتی ہے، اس لیے آپ مقامی طور پر جو کچھ کریں وہ سرور تک نہیں پہنچتا۔

WireGuard: ساتھی ہٹائیں، کیونکہ منسوخی کی فہرست نہیں

WireGuard کوئی پابندی فہرست نہیں رکھتا۔ انٹرفیس بالکل وہی عوامی کلیدیں قبول کرتا ہے جو ساتھی کے طور پر ترتیب دی گئی ہوں، اس لیے منسوخی کا مطلب حذف ہے: wg set wg0 peer <public-key> remove چلائیں، یہ شکل wg(8) میں درج ہے، پھر wg0.conf سے ملتا ہوا [Peer] بلاک حذف کریں۔ دونوں کریں۔ صرف رن ٹائم میں ہٹانا اگلی ری بوٹ یا کنفیگ دوبارہ لوڈ ہونے تک رہتا ہے، تب فائل کلید واپس رکھ دیتی ہے۔

موجودہ سیشن مرنے کے لیے ٹائمر کے محتاج نہیں۔ ساتھی ہٹانے سے اس کا ہینڈ شیک اور کلید کا مواد نکل جاتا ہے، اس لیے جیسے ہی دوبارہ درست کلید جوڑی درکار ہو، ٹریفک رک جاتا ہے۔ سرور پر wg show wg0 latest-handshakes دیکھیں: گمشدہ کلید کا اندراج غائب ہونا چاہیے اور غائب ہی رہنا چاہیے، جبکہ باقی ساتھی حالیہ دور بتاتے رہتے ہیں۔

ایک انتباہ دکھنے سے زیادہ اہم ہے۔ اگر گمشدہ ڈیوائس نے دوسری ڈیوائسز کے ساتھ کلید شیئر کی تھی کیونکہ کسی نے ایک کنفیگ فائل کاپی کی، تو وہ کلید ہٹانے سے وہ سب منقطع ہو جاتی ہیں؛ یہ پھر بھی درست قدم ہے، اور بعد میں مشترکہ کلید بحال کرنے کے بجائے ہر ڈیوائس کے لیے الگ کلید جاری کریں۔

سرٹیفکیٹ: CRL تب ہی شمار ہوتی ہے جب ڈیمن اسے پڑھے

سرٹیفکیٹ پر مبنی رسائی ایک قدم جوڑتی ہے جسے لوگ چھوڑ دیتے ہیں۔ easyrsa revoke laptop-01 CA ڈیٹا بیس میں سرٹیفکیٹ کو منسوخ کے طور پر نشان زد کرتا ہے، مگر VPN اس ڈیٹا بیس سے کچھ نہیں سیکھتا۔ پھر آپ easyrsa gen-crl چلا کر crl.pem لکھتے ہیں، اسے سرور کے crl-verify اختیار میں بتائے گئے راستے پر کاپی کرتے ہیں، اور تصدیق کرتے ہیں کہ چل رہا ڈیمن نئی فائل استعمال کر رہا ہے۔ CRL کو دوبارہ بنا اور تقسیم کیے بغیر منسوخ کرنا بے اثر ہے۔

وقت دوسرا آدھا ہے۔ کلائنٹ کے جڑنے یا دوبارہ گفت و شنید کرنے پر CRL دیکھی جاتی ہے، اس لیے قائم سرنگ اس وقت تک آگے بھیجتی رہ سکتی ہے۔ اگر ڈیوائس فوراً کاٹنی ہو، تو اگلے ہینڈ شیک کا انتظار کرنے کے بجائے OpenVPN مینجمنٹ انٹرفیس سے وہ سیشن واضح طور پر ختم کریں۔ سروس دوبارہ لوڈ یا ری اسٹارٹ کرنا، اس پر منحصر کہ تعیناتی CRL کیسے لوڈ کرتی ہے، تبدیلی کا حصہ ہے نہ کہ اختیاری اضافہ۔

دوسری مشین سے جانچنا مناسب ہے: منسوخ شدہ سرٹیفکیٹ پیش کریں اور ہینڈ شیک ناکامی کی توقع کریں، عام طور پر VERIFY ERROR: depth=0, error=certificate revoked۔ اگر کنکشن پھر بھی کامیاب ہو، تو کلائنٹ آپ کے اپ ڈیٹ کردہ سے مختلف CRL پڑھ رہا ہے۔

اکاؤنٹس اور سیشن: غیر فعال کرنا نکالنے کے مترادف نہیں

ڈائریکٹری یا SSO لاگ ان تصدیق کے وقت جانچے جاتے ہیں۔ اکاؤنٹ غیر فعال کرنے سے اگلا لاگ ان رک جاتا ہے، مگر ریفریش ٹوکن اور قائم سرنگ ختم ہونے تک کام کرتی رہ سکتی ہیں۔ اس صارف کے سیشن اور ٹوکن منسوخ کریں، یا اگر شناخت فراہم کنندہ معاونت کرے تو سیشن ورژن بڑھائیں۔ گمشدہ ڈیوائس کو MFA اندراج سے بھی ہٹائیں، کیونکہ رجسٹرڈ تصدیق کنندہ بذات خود رسائی کا راستہ ہے۔

RADIUS پر مبنی VPN فعال سیشن گرانے کے لیے ڈس کنیکٹ پیغام یا اجازت تبدیلی بھیج سکتے ہیں، مگر ہر نیٹ ورک رسائی سرور اس کی پاسداری نہیں کرتا۔ شک ہو تو سرور کی طرف سے صارف کا سیشن ختم کریں اور لاگز میں تصدیق کریں کہ پرانا سیشن بند ہو گیا۔

اگلے ایک گھنٹے کے لیے اقدامات کی ترتیب

کلائنٹ سے نہیں، انوینٹری سے شروع کریں: ڈیوائس سے جڑی ہر شناخت درج کریں، خواہ ساتھی کلید ہو، سرٹیفکیٹ سیریل نمبر ہو یا اکاؤنٹ۔ جس ترتیب سے کنکشن بنتا ہے اسی ترتیب میں ہر جاری کرنے والے نظام میں منسوخ کریں، یعنی پہلے اکاؤنٹ، پھر سرٹیفکیٹ، پھر ساتھی۔ پھر اپنی زیرِ کنٹرول مشین سے انکار ثابت کریں۔

دو پیروی کے کام بھولنا آسان ہے۔ پہلے، ڈیوائس کے پاس موجود باقی سب کچھ بدلیں، خاص طور پر SSH کلیدیں، کلاؤڈ کنسول اسناد اور مشترکہ WireGuard پیشگی مشترکہ کلید۔ دوسرے، جانچیں کہ کنفیگریشن مینجمنٹ، اسنیپ شاٹس یا گولڈن امیجز اگلی تعمیر نو میں ہٹائی گئی کلائنٹ کو واپس نہیں لا سکتے۔

پائیدار حل ہر ڈیوائس کے لیے ایک شناخت ہے۔ جب ہر لیپ ٹاپ اپنی ساتھی کلید یا سرٹیفکیٹ رکھتا ہے، تو گم ہونے کی قیمت پوری بیڑی کی تعمیر نو کے بجائے ایک منسوخی حکم اور ایک دوبارہ اجرا ہے۔