Отделни VPN самоличности за малък екип, без директория

Шестима души споделят един вход за VPN, един от тях напуска и единственият начин да премахнете достъпа му е да смените тайната, която всички останали използват. Това е истинският проблем и той не изисква Active Directory, за да бъде решен. Малък офис може да поддържа отделни самоличности в каквото локално хранилище поддържа шлюзът му и пак да приема напускането като рутина. Работата е в избора на хранилище и в записването на стъпките за премахване, преди да са ви нужни.

Започнете с данните за достъп, които всеки държи

Избройте с какво се свързва всеки, преди да изберете бекенд. Един лаптоп, телефон, може би настолен компютър вкъщи, и всяко от тях е отделни данни за достъп или отделен сертификат на устройство. Ако не можете да назовете данните за достъп, които човек държи, не можете да ги премахнете по-късно.

Двама души, които споделят един профил, са случаят, който прави всяка следваща стъпка по-трудна. Оправете това първо, защото никаква директория не решава споделена тайна.

Изберете хранилището, което шлюзът наистина поддържа

Изберете хранилището за самоличности, което шлюзът вече поддържа, вместо това, което бихте искали да поддържате. Шлюз с локална база данни за потребители може да държи отделни акаунти с политика за всеки потребител. Внедряване на IKEv2 може да свърже EAP самоличност с конкретна тайна, стига методът на клиента и проверяващият да съвпадат. Решенията, базирани на сертификати, могат да издават по един сертификат на устройство от общ орган, което запазва котвата на доверие споделена, докато данните за достъп остават отделни.

Местоположението на хранилището е по-малко важно от операциите му: записване, архивиране, подновяване и отзоваване. Ако някое от тях няма отговор, изборът не е завършен.

Ако шлюзът предлага и локални акаунти, и сертификати, предпочетете това, което екипът ви може да управлява в два часа през нощта без доставчика по телефона. Този избор е свързан с времето за възстановяване, а не с това кой вариант е технически по-силен.

Отделете човека от устройствата

Решете какво представляват данните за достъп: човек, устройство или и двете. Лаптоп и телефон на един служител са две устройства и един човек и загубата на телефона не бива непременно да изключва лаптопа. Запишете този модел, защото той определя какво означава премахване.

Записвайте собственика, устройството, датата на издаване и пътя за отзоваване за всяка самоличност. Пазете този запис там, където офисът може да го прочете без човека, който го е настроил. Таблица с тези четири колони е достатъчна за шестима души и пак се разширява до шейсет.

Направете премахването обичайна операция

Напишете процедурата за напускане преди първото напускане. Изключете самоличността, прекратете всяка активна сесия и потвърдете, че тунелът наистина пада, вместо да чакате таймер за повторно удостоверяване. След това проверете, че старите данни за достъп се провалят от машина извън офисната мрежа. Цялата последователност трябва да отнеме минути и да не изисква повторно издаване за никого другиго.

sudo swanctl --terminate --ike alice-laptop

Пазете път за възстановяване от администратор, който не зависи от изключения акаунт, и съгласувайте локалните акаунти, които по-късно се преместят в директория. Целта е проста: премахването на един човек е обичайна задача, а не проект, който засяга профилите на всички останали. Локалното удостоверяване на Access Server е един документиран пример за хранилище, което пасва на тази форма.