Identitats VPN individuals per a un equip petit, sense directori

Sis persones comparteixen un inici de sessió VPN, una deixa l’equip i l’única manera de retirar el seu accés és canviar el secret que fan servir tots els altres. Aquest és el problema real, i no cal Active Directory per resoldre’l. Una oficina petita pot mantenir identitats separades en qualsevol magatzem local que admeti la seva passarel·la i, tot i així, tractar les sortides com una rutina. La feina és triar el magatzem i escriure els passos de retirada abans de necessitar-los.

Comenceu per la credencial que té cada persona

Feu una llista d’amb què es connecta cada persona abans de triar un backend. Un portàtil, un telèfon, potser un escriptori de casa, i cadascun d’aquests és una credencial separada o un certificat de dispositiu separat. Si no podeu anomenar la credencial que té una persona, no la podreu retirar més endavant.

Dues persones que comparteixen un perfil és el cas que fa més difícil tots els altres passos. Arregleu això primer, perquè cap directori no resol un secret compartit.

Trieu el magatzem que la passarel·la admet realment

Trieu el magatzem d’identitats que la passarel·la ja admet, no el que us agradaria executar. Una passarel·la amb una base de dades local d’usuaris pot mantenir comptes individuals amb política per usuari. Un desplegament IKEv2 pot assignar una identitat EAP a un secret concret, sempre que el mètode del client i el verificador coincideixin. Les configuracions basades en certificats poden emetre un certificat per dispositiu des d’una autoritat comuna, cosa que manté l’àncora de confiança compartida mentre les credencials romanen separades.

La ubicació del magatzem importa menys que les seves operacions: alta, còpia de seguretat, renovació i revocació. Si cap d’aquestes no té resposta, l’elecció no està acabada.

Si la passarel·la ofereix comptes locals i certificats, preferiu el que el vostre equip pugui operar a les dues de la matinada sense tenir el proveïdor al telèfon. Aquesta preferència va del temps de recuperació, no de quina opció és tècnicament més forta.

Separeu la persona dels dispositius

Decidiu què representa una credencial: una persona, un dispositiu o tots dos. Un portàtil i un telèfon d’un mateix empleat són dos dispositius i una persona, i perdre el telèfon no hauria de desactivar necessàriament el portàtil. Escriviu aquest model, perquè determina què vol dir retirar.

Registreu el propietari, el dispositiu, la data d’emissió i el camí de revocació de cada credencial. Guardeu aquest registre en un lloc on l’oficina el pugui llegir sense la persona que el va configurar. Una taula amb aquestes quatre columnes n’hi ha prou per a sis persones i encara escala fins a seixanta.

Feu de la retirada una operació ordinària

Escriviu el procediment de sortida abans de la primera sortida. Desactiveu la identitat, atureu qualsevol sessió activa i confirmeu que el túnel cau de debò en lloc d’esperar un temporitzador de reautenticació. Després comproveu que la credencial anterior falla des d’una màquina fora de la xarxa de l’oficina. Tota la seqüència hauria de dur minuts i no hauria d’exigir cap reemissió per a ningú més.

sudo swanctl --terminate --ike alice-laptop

Manteniu un camí de recuperació d’administrador que no depengui del compte desactivat i concilieu els comptes locals que més endavant passin a un directori. L’objectiu és simple: retirar una persona és una tasca rutinària, no un projecte que toqui el perfil de tots els altres. L’autenticació local d’Access Server és un exemple documentat d’un magatzem que encaixa en aquesta forma.