Асобныя VPN-ідэнтычнасці для невялікай каманды без каталога

Шэсць чалавек карыстаюцца адным уваходам у VPN, адзін з іх сыходзіць, і адзіны спосаб забраць яго доступ — змяніць сакрэт, якім карыстаюцца ўсе астатнія. Гэта і ёсць сапраўдная праблема, і для яе рашэння не патрэбны Active Directory. Невялікі офіс можа трымаць асобныя ідэнтычнасці ў любым лакальным сховішчы, якое падтрымлівае яго шлюз, і пры гэтым лічыць зыход звычайнай справай. Праца ў тым, каб выбраць сховішча і запісаць крокі выдалення да таго, як яны спатрэбяцца.

Пачніце з уліковых даных, якія мае кожны

Пералічыце, з чым падключаецца кожны чалавек, перш чым выбіраць бэкенд. Адзін ноўтбук, тэлефон, магчыма, хатні кампутар, і кожнае з гэтага — асобныя ўліковыя даныя або асобны сертыфікат прылады. Калі вы не можаце назваць уліковыя даныя чалавека, вы не зможаце іх потым выдаліць.

Двое людзей, якія дзеляць адзін профіль — гэта выпадак, які робіць кожны наступны крок цяжэйшым. Выпраўце гэта першым, бо ніякі каталог не вырашыць агульны сакрэт.

Выберыце сховішча, якое шлюз сапраўды падтрымлівае

Выбірайце сховішча ідэнтычнасцей, якое шлюз ужо падтрымлівае, а не тое, якое вы хацелі б запускаць. Шлюз з лакальнай базай карыстальнікаў можа трымаць асобныя ўліковыя запісы з палітыкай для кожнага карыстальніка. Разгортванне IKEv2 можа суаднесці ідэнтычнасць EAP з пэўным сакрэтам, пры ўмове што метад кліента і правяральнік супадаюць. Рашэнні на сертыфікатах могуць выдаваць адзін сертыфікат на прыладу ад агульнага цэнтра, і гэта захоўвае якар даверу агульным, а ўліковыя даныя — асобнымі.

Месца сховішча менш важнае за яго аперацыі: рэгістрацыя, рэзервовае капіраванне, абнаўленне і адкліканне. Калі на якое-небудзь з гэтага няма адказу, выбар не завершаны.

Калі шлюз прапануе і лакальныя запісы, і сертыфікаты, аддайце перавагу таму, што ваша каманда зможа абслугоўваць у другой гадзіне ночы без пастаўшчыка на тэлефоне. Гэтая перавага пра час аднаўлення, а не пра тое, які варыянт тэхнічна мацнейшы.

Аддзяліце чалавека ад прылад

Вызначце, што ўяўляюць сабой уліковыя даныя: чалавека, прыладу або і тое, і іншае. Ноўтбук і тэлефон аднаго супрацоўніка — гэта дзве прылады і адзін чалавек, і страта тэлефона не абавязана адключаць ноўтбук. Запішыце гэту мадэль, бо яна вызначае, што значыць выдаленне.

Запісвайце ўладальніка, прыладу, дату выдачы і шлях адклікання для кожных уліковых даных. Трымайце гэты запіс там, дзе офіс можа прачытаць яго без чалавека, які яго наладзіў. Табліцы з гэтымі чатырма слупкамі дастаткова для шасці чалавек, і яна ўсё яшчэ масштабуецца да шасцідзесяці.

Зрабіце выдаленне звычайнай аперацыяй

Напішыце працэдуру зыходу да першага зыходу. Адключыце ідэнтычнасць, спыніце ўсякую актыўную сесію і пацвердзіце, што тунель сапраўды падае, а не чакайце таймер паўторнай аўтэнтыфікацыі. Затым праверце, што былыя ўліковыя даныя не працуюць з машыны па-за офіснай сеткай. Уся паслядоўнасць павінна займаць хвіліны і не патрабаваць перавыдачы нікому іншаму.

sudo swanctl --terminate --ike alice-laptop

Трымайце шлях аднаўлення адміністратара, які не залежыць ад адключанага запісу, і ўзгадніце лакальныя запісы, якія пазней пераедуць у каталог. Мэта простая: выдаліць аднаго чалавека — звычайная справа, а не праект, які закранае профілі ўсіх астатніх. Лакальная аўтэнтыфікацыя у Access Server — адзін дакументаваны прыклад сховішча, якое адпавядае гэтай форме.