Kierrätä paikallinen VPN-tili menettämättä sen käyttöoikeuksia

Toimivan VPN-salasanojen korvaaminen näyttää kahden rivin muutokselta, kunnes uudelleenrakennettu tili palaa oletuskäyttöoikeuksilla ja ainoa hallintasessio on poissa. Turvallinen menettely riippuu siitä, mihin tunnistetiedot on tallennettu ja mikä protokolla niitä käyttää, ei siitä, mikä komento on lyhin. Vertaa kahta lähestymistapaa ennen laitteen koskettamista. Paikallaan kierto säilyttää tilin objektin; poisto ja uudelleenluonti korvaa sen, ja kaikki siihen viitanneet menevät sen mukana.

Selvitä, mikä säilö todella todentaa session

Aloita tunnelin tai yhteyden profiilista, älä käyttäjätietokannasta. Profiili nimeää todennusmenetelmän ja usein palvelinryhmän, ja jos ryhmä osoittaa RADIUS- tai TACACS+-palveluun, laitteen paikallinen käyttäjänimi on pelkkää koristetta. Lue profiilin todennusluettelo ja AAA-ryhmä, johon se viittaa, ennen kuin suunnittelet mitään. Vain kun profiili sanoo paikallinen, laitteen tili on merkityksellinen. Tee tämä väärin ja kierrät tunnistetietoa, jota kukaan ei käytä, samalla kun todellinen hakemistomerkintä pysyy täsmälleen sellaisena kuin se oli.

Sama laite pitää yleensä kahta joukkoa: ylläpitäjiä, jotka kirjautuvat siihen, ja VPN-käyttäjiä, jotka lopettavat tunnelin. He voivat jakaa säilön, eikä sitä pidä olettaa.

Paikallaan päivitys vastaan poisto ja uudelleenluonti

Paikallaan kierto muuttaa olemassa olevan objektin yhtä attribuuttia. Käyttöoikeustaso, ryhmäjäsenyys, valtuutusattribuutit ja mikä tahansa tiliin viittaava käytäntö säilyvät, koska mitään ei poistettu. Poisto ja uudelleenluonti rakentaa objektin uudelleen komentoriviltä, joten jokainen kenttä, jota et toistanut, palaa oletusarvoonsa. Laitteessa, jossa käyttäjäkohtaiset attribuutit kantavat jaetun tunnelin tai osoitealtaan määrityksiä, tuo ero on koko riski.

Uudelleenrakentamisella on yksi hyväksyttävä käyttö: kun tallennettu muoto itse on muutettava eikä alusta tarjoa muunnosta. Silloinkin tallenna ensin olemassa oleva merkintä, koska käynnissä oleva kokoonpano on ainoa tarkka luettelo siitä, mitä tili kantoi. Ennen muutosta otettu kopio tuosta kokoonpanosta voittaa muistista kirjoitetun palautussuunnitelman.

Miksi sinulla oleva hajautus ei ehkä ole se salaisuus, jonka se tarvitsee

Tallennusmuodot eroavat tavalla, joka ratkaisee vastauksen. Yksisuuntainen hajautus voi vahvistaa salasanan, kun palvelin vastaanottaa sen selväkielisenä tunnelin sisällä, mutta haaste-vastaus-menetelmä tarvitsee jaetun salaisuuden itsensä tiivisteen laskemiseen. Siksi jokaisen tilin muuntaminen vahvimpaan yksisuuntaiseen muotoon voi rikkoa CHAPin tai MS-CHAPin juuri niiltä käyttäjiltä, jotka ovat siitä riippuvaisia.

Päätä protokollan, älä iskulauseen mukaan. Jos menetelmä tarvitsee palautettavan salaisuuden, se vaatimus on suunnittelun rajoite eikä siivottava huolimattomuus.

Sessiot, jotka elävät tunnistetietoa pidempään

Tunnistetiedon vaihtaminen ei lopeta sessioita, jotka ovat jo todennettu. Vastapuoli, jolla on muodostettu tunneli, jatkaa toimintaansa avaimen uusimiseen, uudelleentodennukseen tai nimenomaiseen katkaisuun asti.

Suunnittele tuo osa erikseen ja suunnittele se ennen muutosta. Jos tunnistetieto vuoti, elävien sessioiden jättäminen käyntiin tekee kierrosta tyhjän. Jos se vain vanheni, kaikkien vastapuolten pakottaminen offline-tilaan on katkos, jota et tarvinnut. Pidä toinen hallintareitti auki työskennellessäsi, mieluiten sellainen, joka ei riipu muokattavasta tilistä, koska täällä vikatila poistaa pääsysi juuri silloin, kun tarvitset sitä. Vahvista sitten uusi kirjautuminen ja resurssit, joihin se pääsee.

Todista, että käyttöoikeudet säilyivät

Kirjaudu kierrätettynä käyttäjänä ja tarkista, mitä sessio myöntää, ei vain että se avautui. Pääse resurssiin, joka vaatii valtuuden, joka tilin pitäisi kantaa, ja kokeile sellaista, johon sen ei pitäisi päästä. Onnistunut kirjautuminen kavennetulla tai laajennetulla pääsyllä on epäonnistunut muutos.

Vertaa käynnissä olevan kokoonpanon valtuutusattribuutteja alussa ottamaasi kopioon. Katso ryhmäjäsenyyttä, osoiteallasta, DNS- ja jaetun tunnelin asetuksia sekä mitä tahansa käytäntöobjektia, joka nimesi tilin. Päivitä sitten merkintä siitä, missä tuo tunnistetieto elää, koska seuraava kierto alkaa siitä muistiinpanosta. Kierto, jota kukaan ei voi toistaa dokumentaation perusteella, on selvitty vain kerran.