Roteer 'n plaaslike VPN-rekening sonder om sy regte te verloor

Om 'n werkende VPN-wagwoord te vervang lyk soos 'n verandering van twee reëls totdat die herboude rekening met verstekregte terugkom en die enigste bestuursessie weg is. Die veilige prosedure hang daarvan af waar die geloofsbewys gestoor word en watter protokol dit gebruik, nie van watter opdrag die kortste is nie. Vergelyk die twee benaderings voordat jy aan die toestel raak. Rotasie in plek bewaar die rekeningobjek; skrap-en-herskep vervang dit, en alles wat daarop gewys het, gaan saam.

Vind watter stoor werklik die sessie verifieer

Begin by die tonnel- of verbindingsprofiel, nie by die gebruikersdatabasis nie. Die profiel noem 'n verifikasiemetode en dikwels 'n bedienergroep, en as daardie groep na RADIUS of TACACS+ wys, is die plaaslike gebruikersnaam op die toestel bloot versiering. Lees die profiel se verifikasielys en die AAA-groep waarna dit verwys voordat jy enigiets beplan. Slegs wanneer die profiel plaaslik sê, maak die rekening op die toestel saak. Kry dit verkeerd en jy roteer 'n geloofsbewys wat niemand gebruik nie, terwyl die werklike gidsinskrywing presies bly soos dit was.

Dieselfde toestel hou gewoonlik twee bevolkings: administrateurs wat daarop aanmeld, en VPN-gebruikers wat 'n tonnel beëindig. Hulle kan 'n stoor deel, en daar moet nie aangeneem word dat hulle dit doen nie.

Opdatering in plek teenoor skrap en herskep

Rotasie in plek verander een kenmerk van 'n bestaande objek. Voorregvlak, groeplidmaatskap, magtigingskenmerke en enige beleid wat na die rekening verwys, bly voortbestaan, want niks is verwyder nie. Skrap-en-herskep bou die objek weer uit 'n opdraglyn, so elke veld wat jy nie herhaal het nie, kom terug op sy verstekwaarde. Op 'n toestel waar per-gebruiker-kenmerke splitsingstonnel- of adrespoeltoewysings dra, is daardie verskil die hele risiko.

Herbou het een wettige gebruik: wanneer die gestoorde formaat self moet verander en die platform geen omskakeling bied nie. Selfs dan, teken eers die bestaande inskrywing op, want die lopende konfigurasie is die enigste akkurate inventaris van wat die rekening gedra het. 'n Afskrif van daardie konfigurasie wat voor die verandering geneem is, is beter as 'n terugrolplan wat uit die geheue geskryf is.

Waarom die hash wat jy het dalk nie die geheim is wat dit nodig het nie

Stoorformate verskil op 'n manier wat die antwoord bepaal. 'n Eenrigting-hash kan 'n wagwoord verifieer wanneer die bediener dit onversleutel binne die tonnel ontvang, maar 'n uitdaging-en-antwoord-metode het die gedeelde geheim self nodig om die vertering te bereken. Om elke rekening na die sterkste eenrigting-formaat om te skakel, kan dus CHAP of MS-CHAP breek vir presies die gebruikers wat daarvan afhanklik is.

Besluit volgens protokol, nie volgens slagspreuk nie. Waar die metode 'n herwinbare geheim nodig het, is daardie vereiste 'n beperking op die ontwerp en nie 'n versuim om op te ruim nie.

Sessies wat die geloofsbewys oorleef

Om 'n geloofsbewys te verander beëindig nie sessies wat reeds verifieer het nie. 'n Eweknie met 'n gevestigde tonnel hou aan werk totdat sleutelvernuwing, herverifikasie of 'n uitdruklike ontkoppeling plaasvind.

Beplan daardie deel afsonderlik, en beplan dit voor die verandering. As die geloofsbewys uitgelek het, maak die aanhou van lewende sessies die rotasie nutteloos. As dit bloot verouder het, is om elke eweknie vanlyn te dwing 'n onderbreking wat jy nie nodig gehad het nie. Hou 'n tweede administrasiepad oop terwyl jy werk, verkieslik een wat nie afhang van die rekening wat geredigeer word nie, want die foutmodus hier verwyder jou toegang juis wanneer jy dit nodig het. Verifieer dan 'n nuwe aanmelding en die hulpbronne wat dit kan bereik.

Bewys dat die regte oorleef het

Meld aan as die geroteerde gebruiker en kyk wat die sessie toestaan, nie net dat dit oopgemaak het nie. Bereik 'n hulpbron wat die magtiging vereis wat die rekening veronderstel is om te dra, en probeer een wat dit nie behoort te bereik nie. 'n Suksesvolle aanmelding met vernoude of verbrede toegang is 'n mislukte verandering.

Vergelyk die magtigingskenmerke in die lopende konfigurasie met die afskrif wat jy aan die begin geneem het. Kyk na groeplidmaatskap, adrespoel, DNS- en splitsingstonnel-instellings, en enige beleidsobjek wat die rekening genoem het. Werk dan die rekord by van waar daardie geloofsbewys woon, want die volgende rotasie begin by daardie nota. 'n Rotasie wat niemand uit dokumentasie kan herhaal nie, is net een keer oorleef.