Περιστρέψτε έναν τοπικό λογαριασμό VPN χωρίς να χάσετε τα δικαιώματά του

Η αντικατάσταση ενός λειτουργικού κωδικού πρόσβασης VPN μοιάζει με αλλαγή δύο γραμμών, μέχρι ο ανακατασκευασμένος λογαριασμός να επιστρέψει με προεπιλεγμένα δικαιώματα και η μόνη συνεδρία διαχείρισης να έχει χαθεί. Η ασφαλής διαδικασία εξαρτάται από το πού αποθηκεύεται το διαπιστευτήριο και ποιο πρωτόκολλο το καταναλώνει, όχι από το ποια εντολή είναι η συντομότερη. Συγκρίνετε τις δύο προσεγγίσεις πριν αγγίξετε τη συσκευή. Η περιστροφή επί τόπου διατηρεί το αντικείμενο του λογαριασμού· η διαγραφή και η εκ νέου δημιουργία το αντικαθιστούν, και ό,τι έδειχνε σε αυτό φεύγει μαζί του.

Βρείτε ποιο χώρο αποθήκευσης πιστοποιεί πραγματικά τη συνεδρία

Ξεκινήστε από το προφίλ της σήραγγας ή της σύνδεσης, όχι από τη βάση δεδομένων χρηστών. Το προφίλ ονομάζει μια μέθοδο πιστοποίησης και συχνά μια ομάδα διακομιστών, και αν αυτή η ομάδα δείχνει σε RADIUS ή TACACS+, το τοπικό όνομα χρήστη στη συσκευή είναι απλή διακόσμηση. Διαβάστε τη λίστα πιστοποίησης του προφίλ και την ομάδα AAA στην οποία παραπέμπει πριν σχεδιάσετε οτιδήποτε. Μόνο όταν το προφίλ λέει τοπικό έχει σημασία ο λογαριασμός στη συσκευή. Αν το κάνετε λάθος, θα περιστρέψετε ένα διαπιστευτήριο που κανείς δεν χρησιμοποιεί, ενώ η πραγματική καταχώριση καταλόγου μένει ακριβώς όπως ήταν.

Η ίδια συσκευή συνήθως φιλοξενεί δύο πληθυσμούς: διαχειριστές που συνδέονται σε αυτήν και χρήστες VPN που τερματίζουν μια σήραγγα. Μπορούν να μοιράζονται έναν χώρο αποθήκευσης και δεν πρέπει να υποτεθεί ότι το κάνουν.

Ενημέρωση επί τόπου έναντι διαγραφής και εκ νέου δημιουργίας

Η περιστροφή επί τόπου αλλάζει ένα χαρακτηριστικό ενός υπάρχοντος αντικειμένου. Το επίπεδο προνομίων, η συμμετοχή σε ομάδες, τα χαρακτηριστικά εξουσιοδότησης και οποιαδήποτε πολιτική παραπέμπει στον λογαριασμό επιβιώνουν, επειδή δεν αφαιρέθηκε τίποτα. Η διαγραφή και η εκ νέου δημιουργία ανακατασκευάζουν το αντικείμενο από γραμμή εντολών, οπότε κάθε πεδίο που δεν επαναλάβατε επιστρέφει στην προεπιλεγμένη τιμή του. Σε μια συσκευή όπου τα χαρακτηριστικά ανά χρήστη φέρουν αναθέσεις διαχωρισμένης σήραγγας ή πισίνας διευθύνσεων, αυτή η διαφορά είναι ολόκληρος ο κίνδυνος.

Η ανακατασκευή έχει μία νόμιμη χρήση: όταν η ίδια η αποθηκευμένη μορφή πρέπει να αλλάξει και η πλατφόρμα δεν προσφέρει μετατροπή. Ακόμη και τότε, καταγράψτε πρώτα την υπάρχουσα καταχώριση, επειδή η τρέχουσα διαμόρφωση είναι η μόνη ακριβής απογραφή του τι έφερε ο λογαριασμός. Ένα αντίγραφο αυτής της διαμόρφωσης που ελήφθη πριν από την αλλαγή υπερτερεί ενός σχεδίου επαναφοράς γραμμένου από μνήμης.

Γιατί ο κατακερματισμός που έχετε μπορεί να μην είναι το μυστικό που χρειάζεται

Οι μορφές αποθήκευσης διαφέρουν με τρόπο που καθορίζει την απάντηση. Ένας μονόδρομος κατακερματισμός μπορεί να επαληθεύσει έναν κωδικό πρόσβασης όταν ο διακομιστής τον λαμβάνει σε καθαρή μορφή μέσα στη σήραγγα, αλλά μια μέθοδος πρόκλησης-απόκρισης χρειάζεται το ίδιο το κοινόχρηστο μυστικό για να υπολογίσει τη σύνοψη. Επομένως, η μετατροπή κάθε λογαριασμού στην ισχυρότερη μονόδρομη μορφή μπορεί να σπάσει το CHAP ή το MS-CHAP ακριβώς για τους χρήστες που εξαρτώνται από αυτό.

Αποφασίστε με βάση το πρωτόκολλο και όχι το σλόγκαν. Όπου η μέθοδος απαιτεί ανακτήσιμο μυστικό, αυτή η απαίτηση είναι περιορισμός του σχεδιασμού και όχι παράλειψη προς καθάρισμα.

Συνεδρίες που επιβιώνουν του διαπιστευτηρίου

Η αλλαγή ενός διαπιστευτηρίου δεν τερματίζει συνεδρίες που έχουν ήδη πιστοποιηθεί. Ένας κόμβος με εγκατεστημένη σήραγγα συνεχίζει να λειτουργεί μέχρι την ανανέωση κλειδιού, την εκ νέου πιστοποίηση ή μια ρητή αποσύνδεση.

Σχεδιάστε αυτό το μέρος ξεχωριστά και σχεδιάστε το πριν από την αλλαγή. Αν το διαπιστευτήριο διέρρευσε, η διατήρηση ζωντανών συνεδριών ακυρώνει την περιστροφή. Αν απλώς έληξε, το να αναγκάσετε κάθε κόμβο εκτός σύνδεσης είναι μια διακοπή που δεν χρειαζόσασταν. Κρατήστε ανοιχτή μια δεύτερη διαδρομή διαχείρισης όσο εργάζεστε, κατά προτίμηση μία που δεν εξαρτάται από τον λογαριασμό που επεξεργάζεστε, γιατί ο τρόπος αποτυχίας εδώ αφαιρεί την πρόσβασή σας ακριβώς όταν τη χρειάζεστε. Στη συνέχεια επαληθεύστε μια νέα σύνδεση και τους πόρους που μπορεί να προσεγγίσει.

Αποδείξτε ότι τα δικαιώματα επιβίωσαν

Συνδεθείτε ως ο περιστραμμένος χρήστης και ελέγξτε τι παραχωρεί η συνεδρία, όχι απλώς ότι άνοιξε. Φτάστε σε έναν πόρο που απαιτεί την εξουσιοδότηση που υποτίθεται ότι φέρει ο λογαριασμός και δοκιμάστε έναν στον οποίο δεν θα έπρεπε να φτάνει. Μια επιτυχημένη σύνδεση με στενωμένη ή διευρυμένη πρόσβαση είναι μια αποτυχημένη αλλαγή.

Συγκρίνετε τα χαρακτηριστικά εξουσιοδότησης στην τρέχουσα διαμόρφωση με το αντίγραφο που πήρατε στην αρχή. Κοιτάξτε τη συμμετοχή σε ομάδες, την πισίνα διευθύνσεων, τις ρυθμίσεις DNS και διαχωρισμένης σήραγγας και οποιοδήποτε αντικείμενο πολιτικής ονόμαζε τον λογαριασμό. Έπειτα ενημερώστε την καταγραφή του πού ζει αυτό το διαπιστευτήριο, αφού η επόμενη περιστροφή ξεκινά από αυτή τη σημείωση. Μια περιστροφή που κανείς δεν μπορεί να επαναλάβει από την τεκμηρίωση έχει επιβιωθεί μόνο μία φορά.