Rotaciu lokan VPN-konton sen perdi ĝiajn permesojn

Anstataŭigi funkciantan VPN-pasvorton aspektas kiel ŝanĝo en du linioj, ĝis la rekonstruita konto revenas kun defaŭltaj permesoj kaj la sola administra sesio jam mankas. La sekura proceduro dependas de tio, kie la legitimilo estas konservita kaj kiu protokolo ĝin uzas, ne de tio, kiu komando estas la plej mallonga. Komparu la du alirojn antaŭ ol tuŝi la aparaton. Surloka rotacio konservas la kontan objekton; forigo kaj rekreo anstataŭigas ĝin, kaj ĉio, kio montris al ĝi, foriras kun ĝi.

Trovu, kiu konservejo fakte aŭtentikigas la sesion

Komencu ĉe la tunela aŭ konekta profilo, ne ĉe la uzanta datumbazo. La profilo nomas aŭtentikigan metodon kaj ofte servilan grupon, kaj se tiu grupo montras al RADIUS aŭ TACACS+, la loka uzantnomo sur la aparato estas nur ornamo. Legu la aŭtentikigan liston de la profilo kaj la AAA-grupon, al kiu ĝi referencas, antaŭ ol plani ion ajn. Nur kiam la profilo diras loka, la konto sur la aparato gravas. Eraru pri tio kaj vi rotacios legitimilon, kiun neniu uzas, dum la vera dosieruja enskribo restas ĝuste tia, kia ĝi estis.

La sama aparato kutime tenas du populaciojn: administrantojn, kiuj ensalutas al ĝi, kaj VPN-uzantojn, kiuj finas tunelon. Ili povas kunhavi konservejon, kaj oni ne devas supozi, ke ili faras tion.

Surloka ĝisdatigo kontraŭ forigo kaj rekreo

Surloka rotacio ŝanĝas unu atributon de ekzistanta objekto. Privilegia nivelo, grupa membreco, rajtigaj atributoj kaj iu ajn politiko, kiu referencas la konton, pluvivas, ĉar nenio estis forigita. Forigo kaj rekreo rekonstruas la objekton el komandlinio, do ĉiu kampo, kiun vi ne ripetis, revenas al sia defaŭlta valoro. Sur aparato, kie atributoj por uzanto portas asignojn de dividita tunelo aŭ de adresaro, tiu diferenco estas la tuta risko.

Rekonstruado havas unu laŭdindan uzon: kiam la konservata formato mem devas ŝanĝiĝi kaj la platformo ne proponas konvertiĝon. Eĉ tiam, unue registru la ekzistantan enskribon, ĉar la funkcianta agordo estas la sola preciza inventaro de tio, kion la konto portis. Kopio de tiu agordo prenita antaŭ la ŝanĝo superas restarigan planon skribitan el memoro.

Kial la haŝo, kiun vi havas, eble ne estas la sekreto, kiun ĝi bezonas

Konservaj formatoj diferencas tiel, ke tio decidas la respondon. Unudirekta haŝo povas kontroli pasvorton kiam la servilo ricevas ĝin malkaŝe interne de la tunelo, sed defio-responda metodo bezonas la kunhavatan sekreton mem por komputi la resumon. Tial konverti ĉiun konton al la plej forta unudirekta formato povas rompi CHAP aŭ MS-CHAP ĝuste por la uzantoj, kiuj dependas de ĝi.

Decidu laŭ protokolo, ne laŭ slogano. Kie la metodo bezonas restaŭreblan sekreton, tiu postulo estas limigo de la dezajno kaj ne superrigardo, kiun oni devus purigi.

Sesioj, kiuj postvivas la legitimilon

Ŝanĝi legitimilon ne finigas sesiojn, kiuj jam aŭtentikiĝis. Samrangulo kun establiĝinta tunelo daŭre funkcias ĝis ŝlosila renovigo, reaŭtentikigo aŭ eksplicita malkonekto.

Planu tiun parton aparte, kaj planu ĝin antaŭ la ŝanĝo. Se la legitimilo likis, lasi vivajn sesiojn funkcii vanigas la rotacion. Se ĝi nur malaktualiĝis, devigi ĉiun samrangulon eksterrete estas interrompo, kiun vi ne bezonis. Tenu duan administran vojon malfermita dum vi laboras, prefere tian, kiu ne dependas de la redaktata konto, ĉar la fiaska reĝimo ĉi tie forprenas vian aliron ĝuste kiam vi bezonas ĝin. Poste kontrolu novan ensaluton kaj la rimedojn, kiujn ĝi povas atingi.

Pruvu, ke la permesoj postvivis

Ensalutu kiel la rotaciita uzanto kaj kontrolu, kion la sesio donas, ne nur ke ĝi malfermiĝis. Atingu rimedon, kiu postulas la rajtigon, kiun la konto devus porti, kaj provu unu, kiun ĝi ne devus atingi. Sukcesa ensaluto kun mallarĝigita aŭ plilarĝigita aliro estas malsukcesa ŝanĝo.

Komparu la rajtigajn atributojn en la funkcianta agordo kun la kopio, kiun vi prenis komence. Rigardu grupan membrecon, adresaron, DNS kaj dividit-tunelajn agordojn, kaj ĉiun politikan objekton, kiu nomis la konton. Poste ĝisdatigu la registron pri tio, kie tiu legitimilo loĝas, ĉar la sekva rotacio komenciĝas de tiu noto. Rotacio, kiun neniu povas ripeti el dokumentaro, estis postvivita nur unufoje.