Individuelle VPN-identiteter til et lille team, uden en mappe

Seks personer deler ét VPN-login, en af dem stopper, og den eneste måde at fjerne vedkommendes adgang på er at ændre den hemmelighed, som alle andre bruger. Det er det egentlige problem, og det kræver ikke Active Directory at løse. Et lille kontor kan holde adskilte identiteter i det lokale lager, som dets gateway understøtter, og stadig behandle afgange som rutine. Arbejdet ligger i at vælge lageret og skrive fjernelsestrinene ned, før man får brug for dem.

Start med den legitimationsoplysning, hver person har

Skriv op, hvad hver person forbinder med, før du vælger en backend. Én bærbar, en telefon, måske en stationær computer derhjemme, og hver af dem er en separat legitimationsoplysning eller et separat enhedscertifikat. Hvis du ikke kan navngive den legitimationsoplysning, en person har, kan du ikke fjerne den senere.

To personer, der deler én profil er det tilfælde, der gør hvert næste skridt sværere. Ret det først, for ingen mappe løser en delt hemmelighed.

Vælg det lager, gatewayen faktisk understøtter

Vælg det identitetslager, gatewayen allerede understøtter, frem for det, du gerne ville køre. En gateway med en lokal brugerdatabase kan holde individuelle konti med brugerbaseret politik. En IKEv2-udrulning kan knytte en EAP-identitet til en bestemt hemmelighed, forudsat at klientmetoden og verificeringen passer sammen. Certifikatbaserede opsætninger kan udstede ét certifikat per enhed fra en fælles myndighed, hvilket holder tillidsankeret delt, mens legitimationsoplysningerne forbliver adskilte.

Lagerets placering betyder mindre end dets drift: tilmelding, backup, fornyelse og tilbagekaldelse. Hvis ingen af dem har et svar, er valget ikke færdigt.

Hvis gatewayen tilbyder både lokale konti og certifikater, så foretræk det, dit team kan betjene klokken to om natten uden leverandøren i telefonen. Den præference handler om genopretningstid, ikke om hvilken mulighed der er teknisk stærkest.

Adskil personen fra enhederne

Beslut, hvad en legitimationsoplysning repræsenterer: en person, en enhed eller begge. En bærbar og en telefon, der tilhører én medarbejder, er to enheder og én person, og at miste telefonen bør ikke nødvendigvis deaktivere den bærbare. Skriv den model ned, for den afgør, hvad fjernelse betyder.

Noter ejeren, enheden, udstedelsesdatoen og tilbagekaldelsesvejen for hver legitimationsoplysning. Opbevar den registrering et sted, hvor kontoret kan læse den uden personen, der satte den op. En tabel med de fire kolonner er nok til seks personer og skalerer stadig til tres.

Gør fjernelse til en almindelig operation

Skriv afgangsproceduren ned, før den første afgang sker. Deaktiver identiteten, afslut enhver aktiv session, og bekræft, at tunnelen faktisk falder, i stedet for at vente på en timer for gentagen godkendelse. Kontroller derefter, at den tidligere legitimationsoplysning fejler fra en maskine uden for kontorets netværk. Hele sekvensen bør tage minutter og ikke kræve ny udstedelse til nogen andre.

sudo swanctl --terminate --ike alice-laptop

Behold en administratorgendannelsesvej, der ikke afhænger af den deaktiverede konto, og afstem lokale konti, der senere flytter til en mappe. Målet er enkelt: at fjerne én person er en rutineopgave, ikke et projekt, der rører alles profiler. Lokal godkendelse i Access Server er et dokumenteret eksempel på et lager, der passer til denne form.