Rotor in lokaal VPN-account sûnder syn rjochten te ferliezen
Lokale VPN-accounts drage autorisaasje dy't in wiskjen en opnij oanmeitsjen útwisket. Fergelykje rotaasje op plak mei weropbou, en kontrolearje dan wat CHAP eins hashje kin.
It ferfangen fan in wurkjend VPN-wachtwurd liket in wiziging fan twa rigels, oant it weropboude account weromkomt mei standertrjochten en de ienige behearssesje fuort is. De feilige proseduere hinget ôf fan wêr't de legitimasaasje bewarre wurdt en hokker protokol it brûkt, net fan hokker opdracht it koartst is. Fergelykje de beide oanpakken foardat jo it apparaat oanreitsje. Rotaasje op plak behâldt it accountobjekt; wiskjen en opnij oanmeitsjen ferfangt it, en alles dat dêrnei wiisde giet der mei fuort.
Fyn út hokker opslach de sesje eins autentisearret
Begjin by it tunnel- of ferbiningsprofyl, net by de brûkersdatabank. It profyl neamt in autentikaasjemetoade en faak in tsjinnergroep, en as dy groep nei RADIUS of TACACS+ wiist, is de lokale brûkersnamme op it apparaat inkeld fersiering. Lês de autentikaasjeliist fan it profyl en de AAA-groep dêr't it nei ferwiist foardat jo wat plenje. Allinnich as it profyl lokaal seit, docht it account op it apparaat der ta. Krij dit ferkeard en jo rotorearje in legitimasaasje dy't nimmen brûkt, wylst de echte mapynfier krekt bliuwt sa't er wie.
Itselde apparaat hâldt meastentiids twa populaasjes: behearders dy't deryn ynlogge, en VPN-brûkers dy't in tunnel beëinigje. Se kinne in opslach diele, en dat moat net oannommen wurde.
Bywurkjen op plak tsjin wiskjen en opnij oanmeitsjen
Rotaasje op plak feroaret ien attribút fan in besteand objekt. Privileezjenivo, groeplidmaatskip, autorisaasje-attributen en elk belied dat nei it account ferwiist oerlibje, om't der neat fuorthelle is. Wiskjen en opnij oanmeitsjen bouwe it objekt op 'e nij fan in kommandorigel, sadat elk fjild dat jo net werhellen weromkomt op syn standertwearde. Op in apparaat dêr't attributen per brûker split-tunnel- of adrespoelopdrachten drage, is dat ferskil it hiele risiko.
Weropbou hat ien legitime gebrûk: as it bewarre formaat sels feroarje moat en it platfoarm gjin konverzje biedt. Sels dan moatte jo earst de besteande ynfier fêstlizze, want de rinnende konfiguraasje is de iennichste krekte ynventarisaasje fan wat it account droech. In kopy fan dy konfiguraasje nommen foar de wiziging is better as in weromrolplan skreaun út it ûnthâld.
Wêrom't de hash dy't jo hawwe miskien net it geheim is dat it nedich hat
Opslachformaten ferskille op in wize dy't it antwurd beslút. In ienrjochtings-hash kin in wachtwurd ferifiearje as de tsjinner it iepen yn 'e tunnel krijt, mar in útdaging-antwurdsmetoade hat it dielde geheim sels nedich om de gearfetting te berekkenjen. Dêrom kin it konvertearjen fan elk account nei it sterkste ienrjochtingsformaat CHAP of MS-CHAP krekt brekke foar de brûkers dy't dêrop fertrouwe.
Beslis op grûn fan protokol, net fan oanhaal. Wêr't de metoade in werom te heljen geheim fereasket, is dy eask in beheining fan it ûntwerp en net in fersom om op te romjen.
Sesjes dy't it legitimasaasje oerlibje
In legitimasaasje feroarje beëiniget gjin sesjes dy't har al autentisearre hawwe. In partner mei in oprjochte tunnel bliuwt wurkjen oant kaaifernijing, werautentikaasje of in eksplisite ôfskieding.
Plenje dat diel apart, en plenje it foar de wiziging. As it legitimasaasje útlekt is, ferslacht it runnen hâlden fan libbene sesjes de rotaasje. As it inkeld ferâldere is, is it twingen fan elke partner offline in ûnderbrekking dy't jo net nedich hiene. Hâld in twadde behearspaad iepen wylst jo wurkje, by foarkar ien dat net ôfhinklik is fan it account dat bewurke wurdt, want de flatermodus hjir hellet jo tagong krekt wei as jo dy nedich hawwe. Ferifiearje dan in nije oanmelding en de helpboarnen dy't it berikke kin.
Bewiis dat de rjochten oerlibbe hawwe
Meld jo oan as de rotearre brûker en kontrolearje wat de sesje jout, net allinnich dat er iepene. Berik in helpboarne dy't de autorisaasje fereasket dy't it account drage moat, en probearje ien dy't it net berikke moat. In suksesfolle oanmelding mei ferneide of útwreide tagong is in mislearre wiziging.
Fergelykje de autorisaasje-attributen yn 'e rinnende konfiguraasje mei de kopy dy't jo oan it begjin nommen hawwe. Sjoch nei groeplidmaatskip, adrespoel, DNS- en split-tunnel-ynstellingen, en elk beliedsobjekt dat it account neamde. Wurkje dan it register by fan wêr't dy legitimasaasje wennet, want de folgjende rotaasje begjint by dy notysje. In rotaasje dy't nimmen út 'e dokumintaasje werhelje kin, is mar ien kear oerlibbe.