Pöörake kohalikku VPN-kontot ilma selle õigusi kaotamata

Töötava VPN-parooli asendamine näib kaherealise muudatusena, kuni ülesehitatud konto naaseb vaikeõigustega ja ainus haldusseanss on kadunud. Turvaline protseduur sõltub sellest, kus mandaat on salvestatud ja milline protokoll seda tarbib, mitte sellest, milline käsk on lühim. Võrrelge mõlemat lähenemist enne seadme puudutamist. Kohapealne pööramine säilitab kontoobjekti; kustutamine ja uuesti loomine asendab selle ning kõik, mis sellele osutas, läheb koos sellega.

Tehke kindlaks, milline hoidla seanssi tegelikult autendib

Alustage tunnelist või ühenduse profiilist, mitte kasutajate andmebaasist. Profiil nimetab autentimismeetodi ja sageli serverigrupi, ja kui see grupp osutab RADIUS-ile või TACACS+-le, on seadme kohalik kasutajanimi vaid kaunistus. Lugege profiili autentimisnimekirja ja AAA-gruppi, millele see viitab, enne kui midagi kavandate. Ainult siis, kui profiil ütleb kohalik, on seadme konto oluline. Kui sellega eksite, pöörate mandaati, mida keegi ei kasuta, samal ajal kui tegelik kataloogikirje jääb täpselt selliseks, nagu see oli.

Sama seade hoiab tavaliselt kahte populatsiooni: administraatorid, kes sinna sisse logivad, ja VPN-kasutajad, kes tunneli lõpetavad. Nad võivad hoidlat jagada ja seda ei tohiks eeldada.

Kohapealne uuendamine versus kustutamine ja uuesti loomine

Kohapealne pööramine muudab olemasoleva objekti ühte atribuuti. Privileegitase, grupiliikmelisus, volitusatribuudid ja igasugune kontole viitav poliitika jäävad alles, sest midagi ei eemaldatud. Kustutamine ja uuesti loomine ehitab objekti käsurealt uuesti üles, nii et iga väli, mida te ei korranud, naaseb oma vaikeväärtusele. Seadmes, kus kasutajapõhised atribuudid kannavad jaotatud tunneli või aadressikogumi määramisi, on see erinevus kogu risk.

Ülesehitamisel on üks õigustatud kasutus: kui salvestusvorming ise peab muutuma ja platvorm ei paku konversiooni. Isegi siis registreerige esmalt olemasolev kirje, sest töötav konfiguratsioon on ainus täpne inventar sellest, mida konto kandis. Enne muudatust tehtud koopia sellest konfiguratsioonist on parem kui mälust kirjutatud tagasipööramisplaan.

Miks räsi, mis teil on, ei pruugi olla saladus, mida see vajab

Salvestusvormingud erinevad viisil, mis otsustab vastuse. Ühesuunaline räsi suudab parooli kontrollida, kui server saab selle tunnelis selgel kujul, kuid väljakutse-vastuse meetod vajab kokkuvõtte arvutamiseks jagatud saladust ennast. Seetõttu võib iga konto teisendamine tugevaimasse ühesuunalisse vormingusse lõhkuda CHAP-i või MS-CHAP-i täpselt nende kasutajate jaoks, kes sellest sõltuvad.

Otsustage protokolli, mitte loosungi järgi. Kui meetod vajab taastatavat saladust, on see nõue disaini piirang, mitte viga, mis tuleks ära koristada.

Seansid, mis elavad mandaadist kauem

Mandaadi muutmine ei lõpeta seansse, mis on juba autenditud. Väljakujunenud tunneliga partner jätkab töötamist kuni võtme uuendamise, uuesti autentimise või selgesõnalise katkestamiseni.

Kavandage see osa eraldi ja kavandage see enne muudatust. Kui mandaat lekkis, teeb elavate seansside jätmine pööramise mõttetuks. Kui see lihtsalt aegus, on iga partneri võrguühenduseta surumine katkestus, mida te ei vajanud. Hoidke töötamise ajal avatud teine haldustee, eelistatavalt selline, mis ei sõltu redigeeritavast kontost, sest siinne tõrkerežiim eemaldab teie juurdepääsu täpselt siis, kui seda vajate. Seejärel kontrollige uut sisselogimist ja ressursse, milleni see jõuab.

Tõestage, et õigused jäid alles

Logige sisse pööratud kasutajana ja kontrollige, mida seanss annab, mitte ainult seda, et see avanes. Jõudke ressursini, mis nõuab volitust, mida konto peaks kandma, ja proovige ühte, milleni see ei peaks jõudma. Edukas sisselogimine kitsendatud või laiendatud juurdepääsuga on ebaõnnestunud muudatus.

Võrrelge töötava konfiguratsiooni volitusatribuute alguses tehtud koopiaga. Vaadake grupiliikmelisust, aadressikogumit, DNS-i ja jaotatud tunneli seadeid ning iga poliitikaobjekti, mis kontot nimetas. Seejärel uuendage kirjet selle kohta, kus see mandaat elab, sest järgmine pööramine algab sellest märkmest. Pööramine, mida keegi ei saa dokumentatsiooni järgi korrata, on üle elatud vaid korra.