Samostatné VPN identity pro malý tým, bez adresáře

Šest lidí sdílí jedno VPN přihlášení, jeden z nich odejde a jediný způsob, jak mu odebrat přístup, je změnit tajemství, které používají všichni ostatní. To je skutečný problém a k jeho řešení není potřeba Active Directory. Malá kancelář může držet oddělené identity v jakémkoli místním úložišti, které její brána podporuje, a přesto brát odchody jako rutinu. Práce je ve výběru úložiště a v sepsání kroků odebrání dřív, než je budete potřebovat.

Začněte údajem, který každý má

Před výběrem backendu si vypište, čím se každý připojuje. Jeden notebook, telefon, možná domácí stolní počítač, a každé z toho je samostatný údaj nebo samostatný certifikát zařízení. Pokud nedokážete pojmenovat údaj, který člověk má, nedokážete ho později odebrat.

Dva lidé sdílející jeden profil je případ, který ztěžuje každý další krok. Opravte to nejdřív, protože žádný adresář neřeší sdílené tajemství.

Vyberte úložiště, které brána skutečně podporuje

Vyberte úložiště identit, které brána už podporuje, ne to, které byste rádi provozovali. Brána s místní databází uživatelů může držet jednotlivé účty se zásadami pro každého uživatele. Nasazení IKEv2 může namapovat identitu EAP na konkrétní tajemství, pokud si metoda klienta a ověřovatel odpovídají. Řešení založená na certifikátech mohou vydat jeden certifikát na zařízení od společné autority, což drží kotvu důvěry společnou, zatímco údaje zůstávají oddělené.

Umístění úložiště je méně důležité než jeho provoz: zápis, záloha, obnova a odvolání. Pokud na některé z toho není odpověď, volba není hotová.

Pokud brána nabízí místní účty i certifikáty, dejte přednost tomu, co váš tým zvládne obsluhovat ve dvě ráno bez dodavatele na telefonu. Ta preference se týká doby obnovy, ne toho, která možnost je technicky silnější.

Oddělte osobu od zařízení

Rozhodněte, co údaj představuje: osobu, zařízení, nebo obojí. Notebook a telefon jednoho zaměstnance jsou dvě zařízení a jedna osoba a ztráta telefonu by neměla nutně vypnout notebook. Zapište ten model, protože určuje, co odebrání znamená.

U každého údaje zaznamenejte vlastníka, zařízení, datum vydání a cestu odvolání. Ten záznam držte tam, kde si ho kancelář může přečíst bez člověka, který ho nastavil. Tabulka s těmito čtyřmi sloupci stačí pro šest lidí a pořád se škáluje na šedesát.

Udělejte z odebrání běžnou operaci

Napište postup odchodu dřív než první odchod. Zakažte identitu, ukončete každou aktivní relaci a potvrďte, že tunel skutečně spadne, místo abyste čekali na časovač opětovného ověření. Pak ověřte, že starý údaj selže ze stroje mimo kancelářskou síť. Celá posloupnost by měla trvat minuty a nikomu dalšímu nevyžadovat nové vydání.

sudo swanctl --terminate --ike alice-laptop

Zachovejte administrátorskou cestu obnovy, která nezávisí na zakázaném účtu, a srovnejte místní účty, které později přejdou do adresáře. Cíl je jednoduchý: odebrat jednoho člověka je rutinní úkol, ne projekt, který se dotýká profilů všech ostatních. Místní ověřování v Access Serveru je jeden zdokumentovaný příklad úložiště, které tomuhle tvaru odpovídá.