Roteu un compte VPN local sense perdre'n els permisos

Substituir una contrasenya VPN que funciona sembla un canvi de dues línies fins que el compte reconstruït torna amb permisos predeterminats i l'única sessió de gestió ha desaparegut. El procediment segur depèn d'on s'emmagatzema la credencial i quin protocol la consumeix, no de quina ordre és més curta. Compareu els dos enfocaments abans de tocar el dispositiu. La rotació in situ conserva l'objecte del compte; l'eliminació i la recreació el substitueixen, i tot el que hi apuntava se'n va amb ell.

Trobeu quin magatzem autentica realment la sessió

Comenceu pel perfil del túnel o de la connexió, no per la base de dades d'usuaris. El perfil indica un mètode d'autenticació i sovint un grup de servidors, i si aquest grup apunta a RADIUS o TACACS+, el nom d'usuari local de la màquina és simple decoració. Llegiu la llista d'autenticació del perfil i el grup AAA a què fa referència abans de planificar res. Només quan el perfil diu local, el compte de la màquina importa. Si us equivoqueu, roteu una credencial que ningú no utilitza mentre l'entrada real del directori queda exactament com era.

El mateix dispositiu sol contenir dues poblacions: administradors que hi inicien sessió i usuaris VPN que tanquen un túnel. Poden compartir un magatzem, i no s'ha de donar per fet que ho fan.

Actualització in situ enfront d'eliminar i recrear

La rotació in situ canvia un sol atribut d'un objecte existent. El nivell de privilegi, la pertinença a grups, els atributs d'autorització i qualsevol política que faci referència al compte sobreviuen, perquè no s'ha eliminat res. L'eliminació i la recreació reconstrueixen l'objecte des d'una línia d'ordres, així que cada camp que no hàgiu repetit torna al seu valor predeterminat. En un dispositiu on els atributs per usuari porten assignacions de túnel dividit o de pool d'adreces, aquesta diferència és tot el risc.

Reconstruir té un ús legítim: quan el format emmagatzemat mateix ha de canviar i la plataforma no ofereix cap conversió. Fins i tot llavors, enregistreu primer l'entrada existent, perquè la configuració en execució és l'únic inventari exacte del que portava el compte. Una còpia d'aquesta configuració feta abans del canvi val més que un pla de reversió escrit de memòria.

Per què el hash que teniu potser no és el secret que necessita

Els formats d'emmagatzematge difereixen d'una manera que decideix la resposta. Un hash d'un sol sentit pot verificar una contrasenya quan el servidor la rep en clar dins del túnel, però un mètode de desafiament-resposta necessita el secret compartit mateix per calcular el resum. Per tant, convertir tots els comptes al format d'un sol sentit més fort pot trencar CHAP o MS-CHAP precisament per als usuaris que en depenen.

Decidiu pel protocol, no per l'eslògan. On el mètode necessita un secret recuperable, aquest requisit és una restricció del disseny i no un descuit que calgui netejar.

Sessions que sobreviuen a la credencial

Canviar una credencial no acaba amb les sessions que ja s'han autenticat. Un parell amb un túnel establert continua funcionant fins a la renovació de claus, la reautenticació o una desconnexió explícita.

Planifiqueu aquesta part per separat, i planifiqueu-la abans del canvi. Si la credencial s'ha filtrat, deixar sessions vives en marxa fa inútil la rotació. Si només ha caducat, forçar tots els parells a fora de línia és una interrupció que no us calia. Manteniu un segon camí d'administració obert mentre treballeu, preferiblement un que no depengui del compte que s'està editant, perquè el mode de fallada aquí us treu l'accés justament quan el necessiteu. Després verifiqueu un inici de sessió nou i els recursos que pot assolir.

Demostreu que els permisos han sobreviscut

Inicieu sessió com l'usuari rotat i comproveu què atorga la sessió, no només que s'hagi obert. Arribeu a un recurs que requereixi l'autorització que el compte ha de portar, i proveu-ne un al qual no hauria d'arribar. Un inici de sessió correcte amb accés estret o ampliat és un canvi fallit.

Compareu els atributs d'autorització de la configuració en execució amb la còpia que vau fer al principi. Mireu la pertinença a grups, el pool d'adreces, la configuració de DNS i de túnel dividit, i qualsevol objecte de política que anomenés el compte. Després actualitzeu el registre d'on viu aquesta credencial, perquè la propera rotació comença en aquesta nota. Una rotació que ningú no pot repetir a partir de la documentació només s'ha sobreviscut una vegada.