Yksilölliset VPN-identiteetit pienelle tiimille ilman hakemistoa

Kuusi ihmistä jakaa yhden VPN-kirjautumisen, yksi heistä lähtee, ja ainoa tapa poistaa hänen pääsynsä on vaihtaa salaisuus, jota kaikki muut käyttävät. Se on todellinen ongelma, eikä sen ratkaisemiseen tarvita Active Directorya. Pieni toimisto voi pitää erilliset identiteetit missä tahansa paikallisessa säilössä, jota sen yhdyskäytävä tukee, ja kohdella lähtemisiä silti rutiinina. Työ on säilön valinnassa ja poistovaiheiden kirjoittamisessa ennen kuin niitä tarvitaan.

Aloita tunnistetiedoista, jotka jokaisella on

Listaa, millä kukin yhdistää, ennen kuin valitset taustajärjestelmän. Yksi kannettava, puhelin, ehkä kotona oleva pöytäkone, ja jokainen niistä on erillinen tunnistetieto tai erillinen laitevarmenne. Jos et pysty nimeämään tunnistetietoa, joka henkilöllä on, et voi poistaa sitä myöhemmin.

Kaksi ihmistä, jotka jakavat yhden profiilin, on tapaus, joka vaikeuttaa jokaista seuraavaa vaihetta. Korjaa se ensin, koska mikään hakemisto ei ratkaise jaettua salaisuutta.

Valitse säilö, jota yhdyskäytävä todella tukee

Valitse identiteettisäilö, jota yhdyskäytävä jo tukee, älä sitä, jota haluaisit ajaa. Yhdyskäytävä, jossa on paikallinen käyttäjätietokanta, voi pitää yksittäisiä tilejä käyttäjäkohtaisella käytännöllä. IKEv2-käyttöönotto voi kartoittaa EAP-identiteetin tiettyyn salaisuuteen, jos asiakasmenetelmä ja vahvistaja täsmäävät. Varmenteisiin perustuvat ratkaisut voivat myöntää yhden varmenteen laitetta kohden yhteisestä viranomaisesta, mikä pitää luottamuksen ankkurin yhteisenä tunnistetietojen pysyessä erillisinä.

Säilön sijainti on vähemmän tärkeä kuin sen toiminnot: rekisteröinti, varmuuskopiointi, uusiminen ja mitätöinti. Jos johonkin niistä ei ole vastausta, valinta ei ole valmis.

Jos yhdyskäytävä tarjoaa sekä paikallisia tilejä että varmenteita, suosi sitä, jota tiimisi pystyy käyttämään kahdelta yöllä ilman toimittajaa puhelimessa. Se mieltymys koskee palautumisaikaa, ei sitä, kumpi vaihtoehto on teknisesti vahvempi.

Erota henkilö laitteista

Päätä, mitä tunnistetieto edustaa: henkilöä, laitetta vai molempia. Yhden työntekijän kannettava ja puhelin ovat kaksi laitetta ja yksi henkilö, eikä puhelimen menettäminen saisi välttämättä poistaa kannettavaa käytöstä. Kirjoita tämä malli muistiin, koska se määrittää, mitä poistaminen tarkoittaa.

Kirjaa jokaisesta tunnistetiedosta omistaja, laite, myöntämispäivä ja mitätöintipolku. Pidä sitä kirjaa jossain, missä toimisto voi lukea sen ilman henkilöä, joka sen asetukset teki. Taulukko neljällä sarakkeella riittää kuudelle ihmiselle ja skaalautuu yhä kuuteenkymmeneen.

Tehke poistamisesta tavallinen toimenpide

Kirjoita lähtömenettely ennen ensimmäistä lähtöä. Poista identiteetti käytöstä, lopeta kaikki aktiiviset istunnot ja varmista, että tunneli todella katkeaa sen sijaan, että odottaisit uudelleentodennuksen ajastinta. Tarkista sitten, että entinen tunnistetieto epäonnistuu toimiston verkon ulkopuolisesta koneesta. Koko jakson pitäisi kestää minuutteja eikä vaatia uutta myöntämistä kenellekään muulle.

sudo swanctl --terminate --ike alice-laptop

Pidä ylläpitäjän palautumispolku, joka ei riipu poistetusta tilistä, ja sovita yhteen paikalliset tilit, jotka myöhemmin siirtyvät hakemistoon. Tavoite on yksinkertainen: yhden ihmisen poistaminen on rutiinitehtävä, ei projekti, joka koskee kaikkien muiden profiileja. Access Serverin paikallinen todennus on yksi dokumentoitu esimerkki säilöstä, joka sopii tähän muotoon.