Ротирайте локален VPN акаунт, без да загубите правата му

Смяната на работеща VPN парола изглежда като промяна в два реда, докато преизграденият акаунт не се върне с права по подразбиране и единствената административна сесия не изчезне. Безопасната процедура зависи от това къде се съхраняват идентификационните данни и кой протокол ги използва, а не коя команда е най-кратка. Сравнете двата подхода, преди да пипате устройството. Ротацията на място запазва обекта на акаунта; изтриването и пресъздаването го заменя и всичко, което е сочило към него, си отива с него.

Открийте кое хранилище всъщност удостоверява сесията

Започнете от профила на тунела или връзката, а не от базата данни с потребители. Профилът посочва метод за удостоверяване и често сървърна група, и ако тази група сочи към RADIUS или TACACS+, локалното потребителско име на устройството е просто украшение. Прочетете списъка за удостоверяване на профила и AAA групата, към която сочи, преди да планирате каквото и да е. Само когато профилът казва „локално“, акаунтът на устройството има значение. Сбъркайте това и ще ротирате идентификационни данни, които никой не използва, докато истинският запис в директорията остава точно какъвто е бил.

Едно и също устройство обикновено държи две популации: администратори, които влизат в него, и VPN потребители, които прекратяват тунел. Те могат да споделят хранилище и не бива да се предполага, че го правят.

Актуализация на място срещу изтриване и пресъздаване

Ротацията на място променя един атрибут на съществуващ обект. Нивото на привилегии, членството в групи, атрибутите за оторизация и всяка политика, която сочи към акаунта, оцеляват, защото нищо не е премахнато. Изтриването и пресъздаването преизгражда обекта от команден ред, така че всяко поле, което не сте повторили, се връща със стойността си по подразбиране. На устройство, където атрибутите за всеки потребител носят задания за разделен тунел или адресен пул, тази разлика е целият риск.

Преизграждането има едно законно приложение: когато самият съхранен формат трябва да се промени и платформата не предлага преобразуване. Дори тогава първо запишете съществуващия запис, защото работещата конфигурация е единственият точен опис на това, което акаунтът е носил. Копие от тази конфигурация, направено преди промяната, е по-добро от план за връщане назад, написан по памет.

Защо хешът, който имате, може да не е тайната, която му трябва

Форматите за съхранение се различават по начин, който решава отговора. Еднопосочен хеш може да провери парола, когато сървърът я получи в открит вид вътре в тунела, но методът заявка-отговор се нуждае от самата споделена тайна, за да изчисли дайджеста. Затова преобразуването на всеки акаунт в най-силния еднопосочен формат може да счупи CHAP или MS-CHAP точно за потребителите, които зависят от него.

Решавайте по протокол, а не по лозунг. Когато методът изисква възстановима тайна, това изискване е ограничение на дизайна, а не пропуск, който трябва да се изчисти.

Сесии, които надживяват идентификационните данни

Смяната на идентификационни данни не прекратява сесии, които вече са се удостоверили. Партньор с установен тунел продължава да работи до подновяване на ключа, повторно удостоверяване или явно прекъсване.

Планирайте тази част отделно и я планирайте преди промяната. Ако идентификационните данни са изтекли, оставянето на живи сесии проваля ротацията. Ако просто са остарели, принуждаването на всеки партньор да излезе офлайн е прекъсване, което не ви е нужно. Дръжте втори административен път отворен, докато работите, за предпочитане такъв, който не зависи от редактирания акаунт, защото режимът на отказ тук отнема достъпа ви точно когато ви е нужен. След това проверете ново влизане и ресурсите, до които може да стигне.

Докажете, че правата са оцелели

Влезте като ротирания потребител и проверете какво дава сесията, а не само че се е отворила. Стигнете до ресурс, който изисква оторизацията, която акаунтът трябва да носи, и опитайте такъв, до който не би трябвало да стига. Успешно влизане със стеснен или разширен достъп е провалена промяна.

Сравнете атрибутите за оторизация в работещата конфигурация с копието, което взехте в началото. Погледнете членството в групи, адресния пул, настройките за DNS и разделен тунел и всеки обект на политика, който е именувал акаунта. После актуализирайте записа къде живеят тези идентификационни данни, защото следващата ротация започва от тази бележка. Ротация, която никой не може да повтори по документацията, е преживяна само веднъж.