Unuopaj VPN-identoj por malgranda teamo, sen adresaro

Ses personoj dividas unu VPN-ensaluton, unu el ili foriras, kaj la sola maniero forigi ties aliron estas ŝanĝi la sekreton, kiun ĉiuj aliaj uzas. Tio estas la reala problemo, kaj ĝi ne bezonas Active Directory por solviĝi. Malgranda oficejo povas teni apartajn identojn en kiu ajn loka konservejo sia pordego subtenas kaj tamen trakti forirojn kiel rutinon. La laboro estas elekti la konservejon kaj skribi la forigajn paŝojn antaŭ ol vi bezonos ilin.

Komencu per la legitimaĵo, kiun ĉiu persono havas

Listigu, per kio ĉiu persono konektiĝas, antaŭ ol elekti bendeziston. Unu tekkomputilo, telefono, eble hejma surtabla komputilo, kaj ĉiu el tiuj estas aparta legitimaĵo aŭ aparta aparata atestilo. Se vi ne povas nomi la legitimaĵon, kiun persono havas, vi ne povos forigi ĝin poste.

Du personoj dividantaj unu profilon estas la kazo, kiu malfaciligas ĉiun alian paŝon. Riparu tion unue, ĉar neniu adresaro solvas dividitan sekreton.

Elektu la konservejon, kiun la pordego vere subtenas

Elektu la identan konservejon, kiun la pordego jam subtenas, anstataŭ tiun, kiun vi ŝatus funkciigi. Pordego kun loka uzantdatumbazo povas teni unuopajn kontojn kun politiko por uzanto. IKEv2-starigo povas mapi EAP-identecon al specifa sekreto, kondiĉe ke la klienta metodo kaj la kontrolilo kongruas. Atestilbazitaj aranĝoj povas eldoni unu atestilon por aparato el komuna aŭtoritato, kio tenas la fido-ankron komuna dum la legitimaĵoj restas apartaj.

La loko de la konservejo malpli gravas ol ĝiaj operacioj: registriĝo, savkopio, renovigo kaj revoko. Se iu el tiuj ne havas respondon, la elekto ne estas finita.

Se la pordego ofertas kaj lokajn kontojn kaj atestilojn, preferu tiun, kiun via teamo povas funkciigi je la dua horo nokte sen la vendisto ĉe la telefono. Tiu prefero temas pri rekupera tempo, ne pri tio, kiu opcio estas teknike pli forta.

Apartigu la personon de la aparatoj

Decidu, kion legitimaĵo reprezentas: personon, aparaton, aŭ ambaŭ. Tekkomputilo kaj telefono apartenantaj al unu dungito estas du aparatoj kaj unu persono, kaj perdi la telefonon ne devus nepre malŝalti la tekkomputilon. Skribu tiun modelon, ĉar ĝi difinas, kion signifas forigo.

Registru la posedanton, la aparaton, la eldondaton kaj la revokan vojon por ĉiu legitimaĵo. Tenu tiun registron ie, kie la oficejo povas legi ĝin sen la persono, kiu starigis ĝin. Tabelo kun tiuj kvar kolumnoj sufiĉas por ses personoj kaj ankoraŭ skaliĝas al sesdek.

Faru la forigon ordinara operacio

Skribu la forirproceduron antaŭ la unua foriro. Malŝaltu la identecon, fermu ĉiun aktivan sesion, kaj konfirmu, ke la tunelo vere falas anstataŭ atendi reaŭtentigan tempigilon. Poste kontrolu, ke la antaŭa legitimaĵo malsukcesas de maŝino ekster la oficeja reto. La tuta sinsekvo devus daŭri minutojn kaj ne postuli reeldonon por iu ajn alia.

sudo swanctl --terminate --ike alice-laptop

Tenu administran rekuperan vojon, kiu ne dependas de la malŝaltita konto, kaj akordigu lokajn kontojn, kiuj poste transiros al adresaro. La celo estas simpla: forigi unu personon estas rutina tasko, ne projekto, kiu tuŝas la profilojn de ĉiuj aliaj. La loka aŭtentigado de Access Server estas unu dokumentita ekzemplo de konservejo, kiu taŭgas por ĉi tiu formo.