Eigene VPN-Identitäten für ein kleines Team, ganz ohne Verzeichnisdienst

Sechs Personen teilen einen VPN-Zugang, eine davon geht, und der einzige Weg, ihren Zugriff zu entfernen, besteht darin, das Geheimnis zu ändern, das alle anderen verwenden. Das ist das eigentliche Problem, und es erfordert kein Active Directory, um es zu lösen. Ein kleines Büro kann getrennte Identitäten in dem lokalen Speicher führen, den sein Gateway unterstützt, und Abgänge trotzdem als Routine behandeln. Die Arbeit steckt in der Wahl des Speichers und darin, die Schritte zum Entfernen aufzuschreiben, bevor man sie braucht.

Zuerst die Zugangsdaten, die jede Person hält

Listen Sie auf, womit sich jede Person verbindet, bevor Sie ein Backend wählen. Ein Laptop, ein Telefon, vielleicht ein Desktop zu Hause, und jedes davon ist ein eigener Zugang oder ein eigenes Gerätezertifikat. Wenn Sie die Zugangsdaten einer Person nicht benennen können, können Sie sie später nicht entfernen.

Zwei Personen, die ein Profil teilen sind der Fall, der jeden weiteren Schritt erschwert. Beheben Sie das zuerst, denn kein Verzeichnisdienst löst ein geteiltes Geheimnis.

Wählen Sie den Speicher, den das Gateway wirklich unterstützt

Wählen Sie den Identitätsspeicher, den das Gateway bereits unterstützt, statt den, den Sie gern betreiben würden. Ein Gateway mit lokaler Benutzerdatenbank kann einzelne Konten mit Richtlinien pro Benutzer führen. Eine IKEv2-Bereitstellung kann eine EAP-Identität einem bestimmten Geheimnis zuordnen, sofern die Client-Methode und der Verifizierer zusammenpassen. Zertifikatsbasierte Setups können ein Zertifikat pro Gerät von einer gemeinsamen Autorität ausstellen, wodurch der Vertrauensanker geteilt bleibt, während die Zugangsdaten getrennt sind.

Der Ort des Speichers ist weniger wichtig als seine Abläufe: Registrierung, Sicherung, Erneuerung und Widerruf. Wenn es auf eine dieser Fragen keine Antwort gibt, ist die Wahl nicht abgeschlossen.

Wenn das Gateway sowohl lokale Konten als auch Zertifikate anbietet, nehmen Sie das, was Ihr Team um zwei Uhr nachts ohne den Anbieter am Telefon bedienen kann. Diese Präferenz betrifft die Wiederherstellungszeit, nicht die Frage, welche Option technisch stärker ist.

Trennen Sie die Person von den Geräten

Legen Sie fest, was ein Zugang repräsentiert: eine Person, ein Gerät oder beides. Ein Laptop und ein Telefon, die einer Mitarbeiterin gehören, sind zwei Geräte und eine Person, und der Verlust des Telefons sollte nicht unbedingt den Laptop deaktivieren. Schreiben Sie dieses Modell auf, denn es bestimmt, was Entfernen bedeutet.

Erfassen Sie für jeden Zugang den Eigentümer, das Gerät, das Ausstellungsdatum und den Weg zum Widerruf. Bewahren Sie diese Aufzeichnung dort auf, wo das Büro sie lesen kann, ohne die Person, die sie eingerichtet hat. Eine Tabelle mit diesen vier Spalten reicht für sechs Personen und skaliert immer noch auf sechzig.

Machen Sie das Entfernen zu einem normalen Vorgang

Schreiben Sie das Verfahren für Abgänge, bevor der erste Abgang passiert. Deaktivieren Sie die Identität, beenden Sie jede aktive Sitzung und prüfen Sie, ob der Tunnel tatsächlich abbricht, statt auf einen Reauthentifizierungs-Timer zu warten. Prüfen Sie dann, dass der frühere Zugang von einem Rechner außerhalb des Büronetzes scheitert. Die ganze Abfolge sollte Minuten dauern und für niemanden sonst eine Neuausstellung erfordern.

sudo swanctl --terminate --ike alice-laptop

Behalten Sie einen Administrator-Wiederherstellungsweg, der nicht vom deaktivierten Konto abhängt, und gleichen Sie lokale Konten ab, die später in ein Verzeichnis wechseln. Das Ziel ist einfach: Eine Person zu entfernen ist eine Routineaufgabe, kein Projekt, das die Profile aller anderen berührt. Die lokale Authentifizierung von Access Server ist ein dokumentiertes Beispiel für einen Speicher dieser Form.