Kiçik komanda üçün fərdi VPN kimlikləri, kataloq olmadan

Altı nəfər bir VPN girişini paylaşır, onlardan biri ayrılır və onun çıxışını silməyin yeganə yolu hamının istifadə etdiyi sirri dəyişməkdir. Əsl problem budur və onu həll etmək üçün Active Directory lazım deyil. Kiçik ofis ayrı kimlikləri şlüzünün dəstəklədiyi yerli anbarda saxlaya və yenə də işdən çıxmaları adi hal kimi qəbul edə bilər. İş anbarı seçməkdə və silmə addımlarını onlara ehtiyac duymadan əvvəl yazmaqdadır.

Hər şəxsin daşıdığı etimad məlumatından başlayın

Arxa planı seçməzdən əvvəl hər şəxsin nə ilə qoşulduğunu siyahıya alın. Bir noutbuk, bir telefon, bəlkə də evdə masaüstü, və bunların hər biri ayrı etimad məlumatı və ya ayrı cihaz sertifikatıdır. Bir şəxsin daşıdığı etimad məlumatını adlandıra bilmirsinizsə, onu sonra silə bilməzsiniz.

Bir profili paylaşan iki nəfər bütün digər addımları çətinləşdirən haldır. Əvvəlcə bunu düzəldin, çünki heç bir kataloq paylaşılan sirri həll etmir.

Şlüzün həqiqətən dəstəklədiyi anbarı seçin

Şlüzün artıq dəstəklədiyi kimlik anbarını seçin, işlətmək istədiyinizi deyil. Yerli istifadəçi bazası olan şlüz hər istifadəçi üçün siyasətlə fərdi hesablar saxlaya bilər. IKEv2 yerləşdirməsi EAP kimliyini müəyyən bir sirrə bağlaya bilər, bu şərtlə ki, müştəri metodu və yoxlayıcı uyğun gəlsin. Sertifikat əsaslı qurğular ümumi orqandan hər cihaz üçün bir sertifikat verə bilər və bu, etimad lövbərini paylaşılan saxlayarkən etimad məlumatlarını ayrı saxlayır.

Anbarın yeri onun əməliyyatlarından az önəmlidir: qeydiyyat, ehtiyat nüsxə, yeniləmə və ləğv. Bunlardan hər hansı birinin cavabı yoxdursa, seçim bitməyib.

Şlüz həm yerli hesablar, həm də sertifikatlar təklif edirsə, komandanızın gecə saat ikidə təchizatçı telefonda olmadan idarə edə biləcəyini seçin. Bu üstünlük bərpa vaxtı ilə bağlıdır, hansı variantın texniki cəhətdən güclü olması ilə deyil.

Şəxsi cihazlardan ayırın

Etimad məlumatının nəyi təmsil etdiyini müəyyənləşdirin: şəxsi, cihazı, yoxsa hər ikisini. Bir işçiyə məxsus noutbuk və telefon iki cihaz və bir şəxsdir, telefonun itirilməsi isə noutbuku mütləq söndürməməlidir. Bu modeli yazın, çünki silmənin nə demək olduğunu o müəyyən edir.

Hər etimad məlumatı üçün sahibi, cihazı, verilmə tarixini və ləğv yolunu qeyd edin. Bu qeydi ofisin onu quran şəxs olmadan oxuya biləcəyi yerdə saxlayın. Bu dörd sütunlu cədvəl altı nəfər üçün kifayətdir və hələ də altmışa qədər genişlənir.

Silməni adi əməliyyata çevirin

İlk ayrılmadan əvvəl ayrılma prosedurunu yazın. Kimliyi söndürün, hər hansı aktiv sessiyanı dayandırın və yenidən autentifikasiya taymerini gözləmək əvəzinə tunelin həqiqətən düşdüyünü təsdiqləyin. Sonra köhnə etimad məlumatının ofis şəbəkəsindən kənardakı maşından uğursuz olduğunu yoxlayın. Bütün ardıcıllıq dəqiqələr aparmalı və başqa heç kəs üçün yenidən buraxılış tələb etməməlidir.

sudo swanctl --terminate --ike alice-laptop

Deaktiv edilmiş hesabdan asılı olmayan bir administrator bərpa yolu saxlayın və sonra kataloqa keçən yerli hesabları uyğunlaşdırın. Məqsəd sadədir: bir nəfəri silmək adi işdir, hamının profilini toxunan bir layihə deyil. Access Server-in yerli autentifikasiyası bu formaya uyğun gələn anbarın sənədləşdirilmiş nümunəsidir.