هويات VPN فردية لفريق صغير دون خدمة دليل

يشترك ستة أشخاص في تسجيل دخول VPN واحد، ويغادر أحدهم، والطريقة الوحيدة لإزالة وصوله هي تغيير السر الذي يستخدمه الجميع. تلك هي المشكلة الفعلية، وهي لا تحتاج إلى Active Directory لحلها. يمكن لمكتب صغير أن يحتفظ بهويات منفصلة في أي مخزن محلي تدعمه بوابته، وأن يعامل المغادرة كأمر روتيني. العمل كله في اختيار المخزن وكتابة خطوات الإزالة قبل أن تحتاج إليها.

ابدأ ببيانات الاعتماد التي يحملها كل شخص

اكتب ما يتصل به كل شخص قبل اختيار النهاية الخلفية. حاسوب محمول واحد، وهاتف، وربما حاسوب مكتبي منزلي، وكل منها بيانات اعتماد منفصلة أو شهادة جهاز منفصلة. إذا لم تستطع تسمية بيانات الاعتماد التي يحملها شخص ما، فلن تستطيع إزالتها لاحقًا.

شخصان يتشاركان ملفًا واحدًا هو الحالة التي تجعل كل خطوة أخرى أصعب. أصلح ذلك أولًا، لأن لا خدمة دليل تحل سرًا مشتركًا.

اختر المخزن الذي تدعمه البوابة فعلاً

اختر مخزن الهويات الذي تدعمه البوابة بالفعل بدلًا من الذي تود تشغيله. يمكن لبوابة بقاعدة مستخدمين محلية أن تحتفظ بحسابات فردية مع سياسة لكل مستخدم. يمكن لنشر IKEv2 أن يربط هوية EAP بسر محدد، شرط أن تتطابق طريقة العميل والمدقق. ويمكن لإعدادات الشهادات أن تصدر شهادة واحدة لكل جهاز من جهة إصدار مشتركة، وهذا يبقي مرساة الثقة مشتركة بينما تبقى بيانات الاعتماد منفصلة.

موقع المخزن أقل أهمية من عملياته: التسجيل والنسخ الاحتياطي والتجديد والإبطال. إذا لم يكن لأي منها إجابة، فالاختيار لم يكتمل.

إذا كانت البوابة توفر الحسابات المحلية والشهادات معًا، فاختر ما يستطيع فريقك تشغيله في الثانية صباحًا دون المورّد على الهاتف. هذا التفضيل يتعلق بزمن الاستعادة، لا بأي الخيارين أقوى تقنيًا.

افصل الشخص عن الأجهزة

حدد ما تمثله بيانات الاعتماد: شخصًا، أو جهازًا، أو كليهما. الحاسوب المحمول والهاتف اللذان يملكهما موظف واحد هما جهازان وشخص واحد، وفقدان الهاتف لا ينبغي أن يعطل الحاسوب المحمول بالضرورة. اكتب هذا النموذج، لأنه يحدد معنى الإزالة.

سجل المالك والجهاز وتاريخ الإصدار ومسار الإبطال لكل بيانات اعتماد. احفظ هذا السجل في مكان يمكن للمكتب قراءته دون الشخص الذي أعدّه. جدول بهذه الأعمدة الأربعة يكفي لستة أشخاص ولا يزال يتسع لستين.

اجعل الإزالة عملية عادية

اكتب إجراء المغادرة قبل أول مغادرة. عطّل الهوية، وأنهِ أي جلسة نشطة، وتأكد من أن النفق يسقط فعلاً بدلًا من انتظار مؤقت إعادة المصادقة. ثم تحقق من فشل بيانات الاعتماد السابقة من جهاز خارج شبكة المكتب. يجب أن تستغرق السلسلة كلها دقائق ولا تتطلب إعادة إصدار لأي شخص آخر.

sudo swanctl --terminate --ike alice-laptop

احتفظ بمسار استعادة للمسؤول لا يعتمد على الحساب المعطل، ووفّق أي حسابات محلية تنتقل لاحقًا إلى خدمة دليل. الهدف بسيط: إزالة شخص واحد مهمة روتينية، لا مشروع يمس ملفات الجميع. إن المصادقة المحلية في Access Server مثال موثق لمخزن يناسب هذا الشكل.