Otočte místní účet VPN, aniž byste ztratili jeho oprávnění

Nahrazení fungujícího hesla VPN vypadá jako změna na dvou řádcích, dokud se přestavěný účet nevrátí s výchozími oprávněními a jediná správcovská relace nezmizí. Bezpečný postup závisí na tom, kde je přihlašovací údaj uložen a který protokol ho používá, ne na tom, který příkaz je nejkratší. Než se zařízení dotknete, oba přístupy porovnejte. Rotace na místě zachová objekt účtu; smazání a opětovné vytvoření ho nahradí a vše, co na něj ukazovalo, jde s ním.

Zjistěte, které úložiště relaci skutečně ověřuje

Začněte u profilu tunelu nebo připojení, ne u uživatelské databáze. Profil uvádí metodu ověřování a často skupinu serverů, a pokud tato skupina ukazuje na RADIUS nebo TACACS+, je místní uživatelské jméno na zařízení jen ozdoba. Přečtěte si seznam ověřování profilu a skupinu AAA, na kterou odkazuje, než cokoli naplánujete. Teprve když profil říká místní, záleží na účtu v zařízení. Když to spletete, otočíte údaj, který nikdo nepoužívá, zatímco skutečný záznam v adresáři zůstane přesně takový, jaký byl.

Stejné zařízení obvykle obsahuje dvě populace: administrátory, kteří se do něj přihlašují, a uživatele VPN, kteří ukončují tunel. Mohou sdílet úložiště a nemělo by se předpokládat, že ho sdílejí.

Aktualizace na místě versus smazání a opětovné vytvoření

Rotace na místě mění jeden atribut existujícího objektu. Úroveň oprávnění, členství ve skupinách, autorizační atributy a jakákoli zásada, která na účet odkazuje, přežijí, protože nebylo nic odstraněno. Smazání a opětovné vytvoření objekt znovu sestaví z příkazového řádku, takže každé pole, které jste nezopakovali, se vrátí ve výchozí hodnotě. Na zařízení, kde atributy pro jednotlivé uživatele nesou přiřazení rozděleného tunelu nebo fondu adres, je tento rozdíl celým rizikem.

Přestavba má jedno oprávněné použití: když se musí změnit samotný uložený formát a platforma nenabízí žádnou konverzi. I tehdy nejprve zaznamenejte existující záznam, protože běžící konfigurace je jediným přesným soupisem toho, co účet nesl. Kopie této konfigurace pořízená před změnou je lepší než plán návratu napsaný zpaměti.

Proč hash, který máte, nemusí být tajemstvím, které potřebuje

Formáty ukládání se liší způsobem, který rozhoduje odpověď. Jednosměrný hash dokáže ověřit heslo, když ho server obdrží v otevřené podobě uvnitř tunelu, ale metoda výzva-odpověď potřebuje samotné sdílené tajemství, aby vypočítala otisk. Převod všech účtů na nejsilnější jednosměrný formát proto může rozbít CHAP nebo MS-CHAP právě těm uživatelům, kteří na něm závisí.

Rozhodujte podle protokolu, ne podle hesla. Tam, kde metoda vyžaduje obnovitelné tajemství, je tento požadavek omezením návrhu, a ne opomenutím, které je třeba uklidit.

Relace, které přežijí přihlašovací údaj

Změna přihlašovacího údaje neukončí relace, které se už ověřily. Protějšek s navázaným tunelem funguje dál až do obnovy klíče, opětovného ověření nebo výslovného odpojení.

Tuto část naplánujte zvlášť a naplánujte ji před změnou. Pokud údaj unikl, ponechání živých relací rotaci maří. Pokud jen zestárl, nucení všech protějšků offline je výpadek, který jste nepotřebovali. Během práce mějte otevřenou druhou správcovskou cestu, nejlépe takovou, která nezávisí na upravovaném účtu, protože zdejší režim selhání vám odebere přístup právě ve chvíli, kdy ho potřebujete. Potom ověřte nové přihlášení a zdroje, ke kterým se dostane.

Dokažte, že oprávnění přežila

Přihlaste se jako otočený uživatel a zkontrolujte, co relace uděluje, ne jen že se otevřela. Dostáhněte na zdroj, který vyžaduje autorizaci, kterou má účet nést, a zkuste jeden, na který by dosáhnout neměl. Úspěšné přihlášení se zúženým nebo rozšířeným přístupem je neúspěšná změna.

Porovnejte autorizační atributy v běžící konfiguraci s kopií, kterou jste pořídili na začátku. Podívejte se na členství ve skupinách, fond adres, nastavení DNS a rozděleného tunelu a na jakýkoli objekt zásady, který účet jmenoval. Potom aktualizujte záznam o tom, kde tento údaj žije, protože další rotace začíná od této poznámky. Rotace, kterou nikdo nedokáže zopakovat podle dokumentace, byla přežita jen jednou.