Rote una cuenta VPN local sin perder sus permisos

Sustituir una contraseña VPN que funciona parece un cambio de dos líneas hasta que la cuenta reconstruida vuelve con permisos predeterminados y la única sesión de gestión ha desaparecido. El procedimiento seguro depende de dónde se guarda la credencial y qué protocolo la consume, no de qué comando es más corto. Compare los dos enfoques antes de tocar el dispositivo. La rotación in situ conserva el objeto de la cuenta; el borrado y la recreación lo sustituyen, y todo lo que apuntaba a él se va con él.

Determine qué almacén autentica realmente la sesión

Empiece por el perfil del túnel o de la conexión, no por la base de datos de usuarios. El perfil indica un método de autenticación y a menudo un grupo de servidores, y si ese grupo apunta a RADIUS o TACACS+, el nombre de usuario local del equipo es mera decoración. Lea la lista de autenticación del perfil y el grupo AAA al que hace referencia antes de planificar nada. Solo cuando el perfil dice local importa la cuenta del equipo. Equivóquese y rotará una credencial que nadie usa mientras la entrada real del directorio permanece exactamente como estaba.

El mismo dispositivo suele albergar dos poblaciones: administradores que inician sesión en él y usuarios VPN que terminan un túnel. Pueden compartir un almacén, y no debe darse por hecho que lo hacen.

Actualización in situ frente a borrar y recrear

La rotación in situ cambia un solo atributo de un objeto existente. El nivel de privilegio, la pertenencia a grupos, los atributos de autorización y cualquier política que haga referencia a la cuenta sobreviven, porque no se eliminó nada. El borrado y la recreación reconstruyen el objeto desde una línea de comandos, así que cada campo que no repitió vuelve a su valor predeterminado. En un dispositivo donde los atributos por usuario llevan asignaciones de túnel dividido o de grupo de direcciones, esa diferencia es todo el riesgo.

La reconstrucción tiene un uso legítimo: cuando el propio formato almacenado tiene que cambiar y la plataforma no ofrece ninguna conversión. Aun así, registre primero la entrada existente, porque la configuración en ejecución es el único inventario exacto de lo que llevaba la cuenta. Una copia de esa configuración tomada antes del cambio supera a un plan de reversión escrito de memoria.

Por qué el hash que tiene puede no ser el secreto que necesita

Los formatos de almacenamiento difieren de una manera que decide la respuesta. Un hash de un solo sentido puede verificar una contraseña cuando el servidor la recibe en claro dentro del túnel, pero un método de desafío-respuesta necesita el propio secreto compartido para calcular el resumen. Por eso, convertir todas las cuentas al formato de un solo sentido más fuerte puede romper CHAP o MS-CHAP precisamente para los usuarios que dependen de él.

Decida por protocolo, no por eslogan. Donde el método necesita un secreto recuperable, ese requisito es una restricción del diseño y no un descuido que haya que limpiar.

Sesiones que sobreviven a la credencial

Cambiar una credencial no termina las sesiones que ya se han autenticado. Un par con un túnel establecido sigue funcionando hasta la renovación de clave, la reautenticación o una desconexión explícita.

Planifique esa parte por separado y planifíquela antes del cambio. Si la credencial se filtró, dejar sesiones vivas en marcha echa por tierra la rotación. Si solo caducó, forzar a todos los pares a desconectarse es una interrupción que no necesitaba. Mantenga abierta una segunda vía de administración mientras trabaja, preferiblemente una que no dependa de la cuenta que se está editando, porque el modo de fallo aquí le quita el acceso justo cuando lo necesita. Después verifique un inicio de sesión nuevo y los recursos a los que puede llegar.

Demuestre que los permisos sobrevivieron

Inicie sesión como el usuario rotado y compruebe qué concede la sesión, no solo que se abrió. Llegue a un recurso que requiera la autorización que la cuenta debe llevar e intente uno al que no debería llegar. Un inicio de sesión correcto con acceso estrechado o ampliado es un cambio fallido.

Compare los atributos de autorización de la configuración en ejecución con la copia que tomó al principio. Mire la pertenencia a grupos, el grupo de direcciones, los ajustes de DNS y de túnel dividido, y cualquier objeto de política que nombrara la cuenta. Después actualice el registro de dónde vive esa credencial, ya que la siguiente rotación empieza en esa nota. Una rotación que nadie puede repetir a partir de la documentación solo se ha sobrevivido una vez.