هویت‌های مستقل VPN برای یک تیم کوچک، بدون دایرکتوری

شش نفر یک ورود VPN را شریک می‌شوند، یکی از آن‌ها می‌رود و تنها راه حذف دسترسی او تغییر رازی است که همه بقیه استفاده می‌کنند. این مشکل واقعی است و حل آن به Active Directory نیاز ندارد. یک دفتر کوچک می‌تواند هویت‌های جداگانه را در هر مخزن محلی که دروازه‌اش پشتیبانی می‌کند نگه دارد و در همان حال خروج‌ها را امری عادی بداند. کار در انتخاب مخزن و نوشتن مراحل حذف پیش از آن‌که به آن‌ها نیاز پیدا کنید است.

با اعتبارنامه‌ای که هر نفر دارد شروع کنید

پیش از انتخاب بک‌اند فهرست کنید هر نفر با چه چیزی وصل می‌شود. یک لپ‌تاپ، یک تلفن، شاید یک رومیزی خانگی، و هر یک از آن‌ها اعتبارنامه‌ای جداگانه یا گواهی دستگاهی جداگانه است. اگر نمی‌توانید اعتبارنامه‌ای را که یک نفر دارد نام ببرید، بعداً نمی‌توانید آن را حذف کنید.

دو نفر که یک پروفایل را شریک می‌شوند همان حالتی است که هر گام دیگر را سخت‌تر می‌کند. اول این را درست کنید، چون هیچ دایرکتوری راز مشترک را حل نمی‌کند.

مخزنی را انتخاب کنید که دروازه واقعاً پشتیبانی می‌کند

مخزن هویتی را انتخاب کنید که دروازه از پیش پشتیبانی می‌کند، نه آن‌که دوست دارید اجرا کنید. دروازه‌ای با پایگاه داده کاربران محلی می‌تواند حساب‌های فردی با سیاست برای هر کاربر نگه دارد. استقرار IKEv2 می‌تواند هویت EAP را به رازی مشخص نگاشت کند، به شرط آن‌که روش کلاینت و تأییدکننده همخوان باشند. پیکربندی‌های مبتنی بر گواهی می‌توانند از یک مرجع مشترک برای هر دستگاه یک گواهی صادر کنند، که لنگر اعتماد را مشترک نگه می‌دارد در حالی که اعتبارنامه‌ها جدا می‌مانند.

مکان مخزن کم‌اهمیت‌تر از عملیات آن است: ثبت‌نام، پشتیبان‌گیری، تمدید و ابطال. اگر هیچ‌یک از اینها پاسخ نداشته باشد، انتخاب تمام نشده است.

اگر دروازه هم حساب‌های محلی و هم گواهی‌ها را ارائه می‌دهد، آن‌که تیم شما می‌تواند ساعت دو بامداد بدون فروشنده روی تلفن اداره کند را ترجیح دهید. این ترجیح درباره زمان بازیابی است، نه درباره این‌که کدام گزینه از نظر فنی قوی‌تر است.

شخص را از دستگاه‌ها جدا کنید

تصمیم بگیرید اعتبارنامه چه چیزی را نمایندگی می‌کند: یک شخص، یک دستگاه یا هر دو. لپ‌تاپ و تلفنی که به یک کارمند تعلق دارند دو دستگاه و یک شخص‌اند، و گم شدن تلفن نباید لزوماً لپ‌تاپ را غیرفعال کند. این مدل را بنویسید، چون تعیین می‌کند حذف به چه معناست.

برای هر اعتبارنامه مالک، دستگاه، تاریخ صدور و مسیر ابطال را ثبت کنید. این سابقه را جایی نگه دارید که دفتر بتواند بدون کسی که آن را راه‌اندازی کرده بخواندش. جدولی با این چهار ستون برای شش نفر کافی است و هنوز تا شصت نفر مقیاس می‌گیرد.

حذف را به عملیاتی عادی تبدیل کنید

روش خروج را پیش از نخستین خروج بنویسید. هویت را غیرفعال کنید، هر نشست فعال را پایان دهید و تأیید کنید که تونل واقعاً قطع می‌شود، نه این‌که منتظر شمارنده احراز هویت دوباره بمانید. سپس بررسی کنید که اعتبارنامه پیشین از دستگاهی بیرون از شبکه دفتر شکست می‌خورد. کل این توالی باید چند دقیقه ببرد و هیچ صدور دوباره‌ای برای کس دیگری لازم نداشته باشد.

sudo swanctl --terminate --ike alice-laptop

مسیر بازیابی مدیر را نگه دارید که به حساب غیرفعال وابسته نباشد، و حساب‌های محلی را که بعداً به دایرکتوری منتقل می‌شوند هماهنگ کنید. هدف ساده است: حذف یک نفر کاری روزمره است، نه پروژه‌ای که به پروفایل همه بقیه دست بزند. احراز هویت محلی در Access Server نمونه‌ای مستند از مخزنی است که با این شکل جور است.