Ратацыя лакальнага ўліковага запісу VPN без страты правоў

Замена працоўнага пароля VPN выглядае як змена ў два радкі, пакуль перабудаваны ўліковы запіс не вернецца з прадвызначанымі правамі, а адзіная сесія кіравання не знікне. Бяспечная працэдура залежыць ад таго, дзе захоўваюцца ўліковыя даныя і які пратакол іх спажывае, а не ад таго, якая каманда карацейшая. Параўнайце абодва падыходы, перш чым кранаць прыладу. Ратацыя на месцы захоўвае аб'ект уліковага запісу; выдаленне і паўторнае стварэнне замяняе яго, і ўсё, што на яго паказвала, сыходзіць разам з ім.

Вызначце, якое сховішча фактычна аўтэнтыфікуе сесію

Пачніце з профілю тунеля або злучэння, а не з базы даных карыстальнікаў. Профіль называе метад аўтэнтыфікацыі і часта групу сервераў, і калі гэтая група паказвае на RADIUS або TACACS+, лакальнае імя карыстальніка на прыладзе — проста ўпрыгожванне. Прачытайце спіс аўтэнтыфікацыі профілю і групу AAA, на якую ён спасылаецца, перш чым нешта планаваць. Толькі калі профіль кажа «лакальна», уліковы запіс на прыладзе мае значэнне. Памыліцеся тут — і вы зменіце ўліковыя даныя, якімі ніхто не карыстаецца, а сапраўдны запіс у каталогу застанецца дакладна такім, якім быў.

Адна і тая ж прылада звычайна трымае дзве супольнасці: адміністратараў, якія ўваходзяць у яе, і карыстальнікаў VPN, якія завяршаюць тунель. Яны могуць дзяліць адно сховішча, і нельга меркаваць, што так і ёсць.

Абнаўленне на месцы супраць выдалення і паўторнага стварэння

Ратацыя на месцы змяняе адзін атрыбут існуючага аб'екта. Узровень прывілеяў, членства ў групе, атрыбуты аўтарызацыі і любая палітыка, якая спасылаецца на ўліковы запіс, захоўваюцца, бо нічога не было выдалена. Выдаленне і паўторнае стварэнне перабудоўвае аб'ект з каманднага радка, таму кожнае поле, якое вы не паўтарылі, вяртаецца да прадвызначанага значэння. На прыладзе, дзе атрыбуты для кожнага карыстальніка нясуць прызначэнні раздзеленага тунеля або пула адрасоў, гэтая розніца — уся рызыка.

У перабудовы ёсць адно законнае прымяненне: калі сам захаваны фармат павінен змяніцца, а платформа не прапануе пераўтварэння. Нават тады спачатку зафіксуйце існуючы запіс, бо працоўная канфігурацыя — гэта адзіны дакладны інвентар таго, што насіў уліковы запіс. Копія гэтай канфігурацыі, зробленая перад зменай, лепш за план адкату, напісаны па памяці.

Чаму хэш, які ў вас ёсць, можа не быць патрэбным сакрэтам

Фарматы захоўвання адрозніваюцца так, што гэта вызначае адказ. Аднабаковы хэш можа праверыць пароль, калі сервер атрымлівае яго ў адкрытым выглядзе ўнутры тунеля, але метад запыту-адказу патрабуе сам агульны сакрэт, каб вылічыць дайджэст. Таму пераўтварэнне кожнага ўліковага запісу ў самы моцны аднабаковы фармат можа зламаць CHAP або MS-CHAP менавіта для тых карыстальнікаў, якія ад яго залежаць.

Вырашайце па пратаколе, а не па лозунгу. Там, дзе метад патрабуе аднаўляльны сакрэт, гэтае патрабаванне — абмежаванне дызайну, а не недагляд, які трэба выправіць.

Сесіі, якія перажываюць уліковыя даныя

Змена ўліковых даных не спыняе сесіі, якія ўжо прайшлі аўтэнтыфікацыю. Партнёр з усталяваным тунелем працягвае працаваць да перагенерацыі ключа, паўторнай аўтэнтыфікацыі або яўнага адключэння.

Плануйце гэтую частку асобна і плануйце яе да змены. Калі ўліковыя даныя ўцяклі, пакінутыя актыўныя сесіі зводзяць ратацыю на нішто. Калі яны проста састарэлі, прымусіць кожнага партнёра адключыцца — гэта перапынак, які вам не быў патрэбны. Трымайце другі шлях адміністравання адкрытым, пакуль працуеце, пажадана такі, што не залежыць ад рэдаглаванага ўліковага запісу, бо рэжым адмовы тут забірае ваш доступ менавіта тады, калі ён патрэбны. Затым праверце новы ўваход і рэсурсы, да якіх ён можа дабрацца.

Давядзіце, што правы захаваліся

Увайдзіце як зменены карыстальнік і праверце, што дае сесія, а не толькі што яна адкрылася. Дабярыцеся да рэсурсу, які патрабуе аўтарызацыі, якую ўліковы запіс павінен мець, і паспрабуйце той, да якога ён не павінен дабірацца. Паспяховы ўваход з звужаным або пашыраным доступам — гэта няўдалая змена.

Параўнайце атрыбуты аўтарызацыі ў працоўнай канфігурацыі з копіяй, якую вы знялі напачатку. Паглядзіце на членства ў групе, пул адрасоў, налады DNS і раздзеленага тунеля, а таксама на любы аб'ект палітыкі, які называў уліковы запіс. Затым абнавіце запіс пра тое, дзе жывуць гэтыя ўліковыя даныя, бо наступная ратацыя пачынаецца з гэтай нататкі. Ратацыя, якую ніхто не можа паўтарыць па дакументацыі, была перажыта толькі адзін раз.