Eie VPN-identiteite vir ’n klein span, sonder ’n gidsdiens

Ses mense deel een VPN-aanmelding, een van hulle vertrek, en die enigste manier om hul toegang te verwyder is om die geheim te verander wat almal anders gebruik. Dit is die werklike probleem, en dit vereis nie Active Directory om dit op te los nie. ’n Klein kantoor kan aparte identiteite hou in watter plaaslike stoor sy poort ook ondersteun, en vertrekkings steeds as roetine hanteer. Die werk lê daarin om die stoor te kies en die verwyderingsakkies neer te skryf voordat jy dit nodig het.

Begin met die referensie wat elke persoon het

Lys waarnee elke persoon koppel voordat jy ’n backend kies. Een skootrekenaar, ’n selfoon, miskien ’n tuisrekenaar, en elkeen daarvan is ’n aparte referensie of ’n aparte toestelsertifikaat. As jy nie die referensie kan noem wat ’n persoon het nie, kan jy dit later nie verwyder nie.

Twee mense wat een profiel deel is die geval wat elke ander stap moeiliker maak. Maak dit eerste reg, want geen gidsdiens los ’n gedeelde geheim op nie.

Kies die stoor wat die poort werklik ondersteun

Kies die identiteitstoor wat die poort reeds ondersteun, eerder as die een wat jy graag sou wou bedryf. ’n Poort met ’n plaaslike gebruikersdatabasis kan individuele rekeninge met beleid per gebruiker hou. ’n IKEv2-ontplooiing kan ’n EAP-identiteit aan ’n spesifieke geheim koppel, mits die kliëntmetode en die verifieerder ooreenstem. Sertifikaatgebaseerde opstellings kan een sertifikaat per toestel by ’n gemeenskaplike owerheid uitreik, wat die vertrouensanker gedeel hou terwyl die referensies apart bly.

Die stoor se ligging maak minder saak as sy bedrywighede: inskrywing, rugsteun, hernuwing en herroeping. As enige van dié geen antwoord het nie, is die keuse nie klaar nie.

As die poort beide plaaslike rekeninge en sertifikate bied, verkies dié wat jou span om twee in die oggend kan bedryf sonder die verskaffer op die telefoon. Daardie voorkeur gaan oor hersteltyd, nie oor watter opsie tegnies sterker is nie.

Skei die persoon van die toestelle

Bepaal wat ’n referensie verteenwoordig: ’n persoon, ’n toestel, of albei. ’n Skootrekenaar en ’n selfoon wat aan een werknemer behoort, is twee toestelle en een persoon, en om die selfoon te verloor moet nie noodwendig die skootrekenaar deaktiveer nie. Skryf daardie model neer, want dit bepaal wat verwydering beteken.

Teken die eienaar, die toestel, die uitreikdatum en die herroepingsroete vir elke referensie aan. Hou daardie rekord êrens waar die kantoor dit kan lees sonder die persoon wat dit opgestel het. ’n Tabel met daardie vier kolomme is genoeg vir ses mense en skaal steeds na sestig.

Maak verwydering ’n gewone operasie

Skryf die vertrekprosedure voordat die eerste vertrek plaasvind. Deaktiveer die identiteit, beëindig enige aktiewe sessie, en bevestig dat die tonnel werklik val eerder as om op ’n heraantekeningstimer te wag. Kyk dan dat die voormalige referensie misluk vanaf ’n masjien buite die kantoornetwerk. Die hele reeks behoort minute te neem en vir niemand anders ’n heruitreiking te vereis nie.

sudo swanctl --terminate --ike alice-laptop

Hou ’n administrateur-herstelroete wat nie van die gedeaktiveerde rekening afhang nie, en versoen enige plaaslike rekeninge wat later na ’n gidsdiens skuif. Die doel is eenvoudig: een persoon verwyder is ’n roetine-taak, nie ’n projek wat almal anders se profiel raak nie. Die plaaslike verifikasie van Access Server is een gedokumenteerde voorbeeld van ’n stoor wat by hierdie vorm pas.