Ξεχωριστές ταυτότητες VPN για μια μικρή ομάδα, χωρίς κατάλογο

Έξι άτομα μοιράζονται μία σύνδεση VPN, ένα από αυτά φεύγει, και ο μόνος τρόπος να αφαιρέσετε την πρόσβασή του είναι να αλλάξετε το μυστικό που χρησιμοποιούν όλοι οι υπόλοιποι. Αυτό είναι το πραγματικό πρόβλημα, και δεν χρειάζεται Active Directory για να λυθεί. Ένα μικρό γραφείο μπορεί να κρατά ξεχωριστές ταυτότητες σε όποιον τοπικό χώρο αποθήκευσης υποστηρίζει η πύλη του και να αντιμετωπίζει τις αποχωρήσεις ως ρουτίνα. Η δουλειά είναι στην επιλογή του χώρου αποθήκευσης και στη σύνταξη των βημάτων αφαίρεσης πριν τα χρειαστείτε.

Ξεκινήστε με το διαπιστευτήριο που κρατά κάθε άτομο

Καταγράψτε με τι συνδέεται κάθε άτομο πριν διαλέξετε backend. Ένας φορητός, ένα τηλέφωνο, ίσως ένας υπολογιστής γραφείου στο σπίτι, και καθένα από αυτά είναι ξεχωριστό διαπιστευτήριο ή ξεχωριστό πιστοποιητικό συσκευής. Αν δεν μπορείτε να ονομάσετε το διαπιστευτήριο που κρατά ένα άτομο, δεν μπορείτε να το αφαιρέσετε αργότερα.

Δύο άτομα που μοιράζονται ένα προφίλ είναι η περίπτωση που κάνει κάθε επόμενο βήμα δυσκολότερο. Διορθώστε το πρώτα, γιατί κανένας κατάλογος δεν λύνει ένα κοινό μυστικό.

Διαλέξτε τον χώρο αποθήκευσης που πραγματικά υποστηρίζει η πύλη

Διαλέξτε τον χώρο αποθήκευσης ταυτοτήτων που η πύλη ήδη υποστηρίζει, όχι αυτόν που θα θέλατε να τρέχετε. Μια πύλη με τοπική βάση χρηστών μπορεί να κρατά ξεχωριστούς λογαριασμούς με πολιτική ανά χρήστη. Μια εγκατάσταση IKEv2 μπορεί να αντιστοιχίσει μια ταυτότητα EAP σε συγκεκριμένο μυστικό, αρκεί η μέθοδος του πελάτη και ο επαληθευτής να ταιριάζουν. Οι λύσεις με πιστοποιητικά μπορούν να εκδίδουν ένα πιστοποιητικό ανά συσκευή από κοινή αρχή, κι αυτό κρατά την άγκυρα εμπιστοσύνης κοινή ενώ τα διαπιστευτήρια μένουν ξεχωριστά.

Η θέση του χώρου αποθήκευσης έχει μικρότερη σημασία από τις λειτουργίες του: εγγραφή, αντίγραφο ασφαλείας, ανανέωση και ανάκληση. Αν κάποια από αυτές δεν έχει απάντηση, η επιλογή δεν έχει τελειώσει.

Αν η πύλη προσφέρει και τοπικούς λογαριασμούς και πιστοποιητικά, προτιμήστε αυτό που η ομάδα σας μπορεί να χειριστεί στις δύο τα ξημερώματα χωρίς τον προμηθευτή στο τηλέφωνο. Αυτή η προτίμηση αφορά τον χρόνο αποκατάστασης, όχι το ποια επιλογή είναι τεχνικά ισχυρότερη.

Χωρίστε το άτομο από τις συσκευές

Αποφασίστε τι αντιπροσωπεύει ένα διαπιστευτήριο: ένα άτομο, μια συσκευή ή και τα δύο. Ένας φορητός και ένα τηλέφωνο που ανήκουν σε έναν υπάλληλο είναι δύο συσκευές και ένα άτομο, και η απώλεια του τηλεφώνου δεν θα έπρεπε απαραίτητα να απενεργοποιεί τον φορητό. Γράψτε αυτό το μοντέλο, γιατί καθορίζει τι σημαίνει αφαίρεση.

Καταγράψτε τον ιδιοκτήτη, τη συσκευή, την ημερομηνία έκδοσης και τη διαδρομή ανάκλησης για κάθε διαπιστευτήριο. Κρατήστε αυτό το αρχείο κάπου όπου το γραφείο μπορεί να το διαβάσει χωρίς το άτομο που το έστησε. Ένας πίνακας με αυτές τις τέσσερις στήλες αρκεί για έξι άτομα και ακόμη κλιμακώνεται στα εξήντα.

Κάντε την αφαίρεση μια συνηθισμένη διαδικασία

Γράψτε τη διαδικασία αποχώρησης πριν την πρώτη αποχώρηση. Απενεργοποιήστε την ταυτότητα, τερματίστε κάθε ενεργή συνεδρία και επιβεβαιώστε ότι η σήραγγα πέφτει πραγματικά αντί να περιμένετε κάποιο χρονόμετρο επαναπιστοποίησης. Έπειτα ελέγξτε ότι το παλιό διαπιστευτήριο αποτυγχάνει από μηχάνημα έξω από το δίκτυο του γραφείου. Όλη η ακολουθία πρέπει να παίρνει λεπτά και να μην απαιτεί νέα έκδοση για κανέναν άλλο.

sudo swanctl --terminate --ike alice-laptop

Κρατήστε μια διαδρομή ανάκτησης διαχειριστή που δεν εξαρτάται από τον απενεργοποιημένο λογαριασμό, και συμβιβάστε τυχόν τοπικούς λογαριασμούς που αργότερα μετακινούνται σε κατάλογο. Ο στόχος είναι απλός: η αφαίρεση ενός ατόμου είναι εργασία ρουτίνας, όχι έργο που αγγίζει το προφίλ όλων των άλλων. Η τοπική πιστοποίηση του Access Server είναι ένα τεκμηριωμένο παράδειγμα χώρου αποθήκευσης που ταιριάζει σε αυτή τη μορφή.