Rotirajte lokalni VPN račun bez gubitka njegovih dozvola

Zamjena radne VPN lozinke izgleda kao promjena u dva reda, sve dok se ponovo izgrađeni račun ne vrati s podrazumijevanim dozvolama i dok jedina upravljačka sesija ne nestane. Siguran postupak zavisi od toga gdje je kredencijal pohranjen i koji ga protokol koristi, a ne od toga koja je komanda najkraća. Uporedite dva pristupa prije nego što dotaknete uređaj. Rotacija na mjestu čuva objekat računa; brisanje i ponovno kreiranje ga zamjenjuje, i sve što je na njega pokazivalo odlazi s njim.

Pronađite koje spremište zapravo autentificira sesiju

Počnite od profila tunela ili veze, a ne od korisničke baze podataka. Profil navodi metodu autentifikacije i često serversku grupu, a ako ta grupa pokazuje na RADIUS ili TACACS+, lokalno korisničko ime na uređaju je samo ukras. Pročitajte listu autentifikacije profila i AAA grupu na koju se poziva prije nego što bilo šta planirate. Samo kada profil kaže lokalno, račun na uređaju je važan. Pogriješite li ovo, rotirate kredencijal koji niko ne koristi dok stvarni zapis u imeniku ostaje tačno onakav kakav je bio.

Isti uređaj obično drži dvije populacije: administratore koji se prijavljuju na njega i VPN korisnike koji prekidaju tunel. Oni mogu dijeliti spremište i ne treba pretpostavljati da dijele.

Ažuriranje na mjestu nasuprot brisanju i ponovnom kreiranju

Rotacija na mjestu mijenja jedan atribut postojećeg objekta. Nivo privilegija, članstvo u grupi, atributi autorizacije i svaka politika koja upućuje na račun preživljavaju, jer ništa nije uklonjeno. Brisanje i ponovno kreiranje ponovo gradi objekat iz komandne linije, pa se svako polje koje niste ponovili vraća na podrazumijevanu vrijednost. Na uređaju gdje atributi po korisniku nose dodjele podijeljenog tunela ili adresnog pula, ta razlika je cijeli rizik.

Ponovna izgradnja ima jednu legitimnu upotrebu: kada se sam pohranjeni format mora promijeniti, a platforma ne nudi konverziju. Čak i tada prvo zabilježite postojeći zapis, jer je radna konfiguracija jedini tačan inventar onoga što je račun nosio. Kopija te konfiguracije uzeta prije promjene bolja je od plana vraćanja napisanog po sjećanju.

Zašto heš koji imate možda nije tajna koja mu je potrebna

Formati pohrane razlikuju se na način koji odlučuje odgovor. Jednosmjerni heš može provjeriti lozinku kada je server primi u čistom obliku unutar tunela, ali metoda izazov-odgovor treba samu dijeljenu tajnu da bi izračunala sažetak. Zato pretvaranje svakog računa u najjači jednosmjerni format može slomiti CHAP ili MS-CHAP upravo onim korisnicima koji o njemu zavise.

Odlučujte po protokolu, a ne po sloganu. Gdje metoda zahtijeva obnovljivu tajnu, taj zahtjev je ograničenje dizajna, a ne propust koji treba počistiti.

Sesije koje nadžive kredencijal

Promjena kredencijala ne prekida sesije koje su se već autentificirale. Partner s uspostavljenim tunelom nastavlja raditi do obnove ključa, ponovne autentifikacije ili eksplicitnog prekida.

Isplanirajte taj dio odvojeno i isplanirajte ga prije promjene. Ako je kredencijal procurio, ostavljanje živih sesija poništava rotaciju. Ako je samo istekao, prisiljavanje svakog partnera na offline je prekid koji vam nije trebao. Držite drugi administrativni put otvoren dok radite, po mogućnosti onaj koji ne zavisi od računa koji se uređuje, jer način kvara ovdje uklanja vaš pristup tačno kada vam treba. Zatim provjerite novu prijavu i resurse do kojih može doći.

Dokažite da su dozvole preživjele

Prijavite se kao rotirani korisnik i provjerite šta sesija daje, a ne samo da se otvorila. Dođite do resursa koji zahtijeva autorizaciju koju račun treba da nosi i pokušajte jedan do kojeg ne bi trebao doći. Uspješna prijava sa suženim ili proširenim pristupom je neuspješna promjena.

Uporedite atribute autorizacije u radnoj konfiguraciji s kopijom koju ste uzeli na početku. Pogledajte članstvo u grupi, adresni pul, DNS i postavke podijeljenog tunela, i svaki politički objekat koji je imenovao račun. Zatim ažurirajte zapis o tome gdje taj kredencijal živi, jer sljedeća rotacija počinje od te bilješke. Rotacija koju niko ne može ponoviti iz dokumentacije samo je jednom preživljena.