Pojedinačni VPN identiteti za mali tim, bez direktorija

Šest ljudi dijeli jednu VPN prijavu, jedan od njih odlazi, a jedini način da uklonite njegov pristup jeste da promijenite tajnu koju koriste svi ostali. To je stvarni problem i za njegovo rješavanje nije potreban Active Directory. Mali ured može držati zasebne identitete u onom lokalnom spremištu koje podržava njegov gateway i ipak tretirati odlaske kao rutinu. Posao je u odabiru spremišta i u zapisivanju koraka uklanjanja prije nego što vam zatrebaju.

Počnite s akreditivima koje svako ima

Popišite s čime se svako povezuje prije nego što odaberete backend. Jedan laptop, telefon, možda kućni desktop, a svaki od njih je zasebni akreditiv ili zasebni certifikat uređaja. Ako ne možete imenovati akreditiv koji osoba ima, nećete ga kasnije moći ukloniti.

Dvije osobe koje dijele jedan profil slučaj je koji svaki dalji korak čini težim. Prvo to popravite, jer nijedan direktorij ne rješava dijeljenu tajnu.

Odaberite spremište koje gateway zaista podržava

Odaberite spremište identiteta koje gateway već podržava, a ne ono koje biste željeli voditi. Gateway s lokalnom bazom korisnika može držati pojedinačne račune s politikom po korisniku. IKEv2 implementacija može mapirati EAP identitet na određenu tajnu, pod uvjetom da se klijentska metoda i verifikator podudaraju. Rješenja zasnovana na certifikatima mogu izdati po jedan certifikat na uređaj od zajedničkog autoriteta, što sidro povjerenja drži zajedničkim dok akreditivi ostaju zasebni.

Lokacija spremišta manje je važna od njegovih operacija: upisa, sigurnosne kopije, obnove i opoziva. Ako na bilo koju od njih nema odgovora, izbor nije dovršen.

Ako gateway nudi i lokalne račune i certifikate, prednost dajte onome što vaš tim može voditi u dva sata ujutro bez dobavljača na telefonu. Ta sklonost tiče se vremena oporavka, a ne toga koja je opcija tehnički jača.

Odvojite osobu od uređaja

Odredite šta akreditiv predstavlja: osobu, uređaj ili oboje. Laptop i telefon koji pripadaju jednom zaposleniku su dva uređaja i jedna osoba, a gubitak telefona ne mora nužno onemogućiti laptop. Zapišite taj model, jer on određuje šta uklanjanje znači.

Za svaki akreditiv zabilježite vlasnika, uređaj, datum izdavanja i put opoziva. Držite taj zapis negdje gdje ga ured može pročitati bez osobe koja ga je postavila. Tabela s ta četiri stupca dovoljna je za šest ljudi i još uvijek se skalira na šezdeset.

Učinite uklanjanje običnom operacijom

Napišite proceduru odlaska prije prvog odlaska. Onemogućite identitet, prekinite svaku aktivnu sesiju i potvrdite da tunel zaista pada umjesto da čekate tajmer ponovne autentifikacije. Zatim provjerite da stari akreditiv ne uspijeva s računara izvan uredske mreže. Cijeli slijed treba trajati nekoliko minuta i ne zahtijevati ponovno izdavanje nikome drugom.

sudo swanctl --terminate --ike alice-laptop

Zadržite administratorski put oporavka koji ne zavisi od onemogućenog računa i uskladite lokalne račune koji kasnije pređu u direktorij. Cilj je jednostavan: ukloniti jednu osobu rutinski je zadatak, a ne projekat koji dira profile svih ostalih. Lokalna autentifikacija u Access Serveru jedan je dokumentovan primjer spremišta koje odgovara ovom obliku.