Aparte VPN-identiteiten foar in lyts team, sûnder adresboek

Seis minsken diele ien VPN-oanmelding, ien fan harren giet fuort, en de iennichste manier om har tagong fuort te heljen is it geheim te feroarjen dat alle oaren brûke. Dat is it echte probleem, en it freget gjin Active Directory om it op te lossen. In lyts kantoar kin aparte identiteiten hâlde yn hokker pleatslike winkel oft syn gateway ek stipet en dochs ôfskied as routine behannelje. It wurk sit yn it kiezen fan de winkel en it opskriuwen fan de stappen foar it fuortheljen foardat jo se nedich binne.

Begjin mei de bekendheid dy’t elke persoan hat

List op wêrmei’t elke persoan ferbynt foardat jo in backend kieze. Ien laptop, in tillefoan, miskien in thúskompjûter, en elk dêrfan is in aparte bekendheid of in apart apparaatsertifikaat. As jo de bekendheid dy’t in persoan hat net beneame kinne, kinne jo dy letter net fuorthelje.

Twa minsken dy’t ien profyl diele is it gefal dat elke folgjende stap dreech makket. Reparearje dat earst, want gjin adresboek lost in dield geheim op.

Kies de winkel dy’t de gateway echt stipet

Kies de identiteitswinkel dy’t de gateway al stipet, ynstee fan dy’t jo graach draaie wolle. In gateway mei in pleatslike brûkersdatabank kin yndividuele akkounts hâlde mei belied foar elke brûker. In IKEv2-útfiering kin in EAP-identiteit oan in beskaat geheim keppelje, mits de klantmetoade en de ferifiearder oerienkomme. Sertifikaatbasearre opsetten kinne ien sertifikaat per apparaat fan in mienskiplike autoriteit útjaan, wat it fertrouwensanker dield hâldt wylst de bekendheden apart bliuwe.

It plak fan ’e winkel is minder wichtich as de operaasjes: ynskriuwing, reservekopy, fernijing en yntrekken. As ien fan dy gjin antwurd hat, is de kar net dien.

As de gateway sawol pleatslike akkounts as sertifikaten oanbiedt, foarkar dan dy’t jo team om twa oere nachts sûnder de leveransier oan ’e telefoan betsjinje kin. Dy foarkar giet oer werstel tiid, net oer hokker opsje technysk sterker is.

Skied de persoan fan de apparaten

Bepaal wat in bekendheid fertsjintwurdiget: in persoan, in apparaat, of beide. In laptop en in tillefoan fan ien wurknimmer binne twa apparaten en ien persoan, en it ferliezen fan ’e tillefoan soe net needsaaklik de laptop útskeakelje moatte. Skriuw dat model op, want it bepaalt wat fuortheljen betsjut.

Skriuw de eigner, it apparaat, de útjefte datum en it paad foar yntrekken foar elke bekendheid op. Hâld dy registraasje earne dêr’t it kantoar it lêze kin sûnder de persoan dy’t it ynsteld hat. In tabel mei dy fjouwer kolommen is genôch foar seis minsken en skalet noch altyd nei sechstich.

Meitsje fuortheljen in gewoane operaasje

Skriuw de ôfskiedsproseduere foardat it earste ôfskied. Skeakelje de identiteit út, beëinigje elke aktive sesje en befêstigje dat de tunnel echt falt ynstee fan te wachtsjen op in timer foar werbefêstiging. Kontrolearje dan dat de eardere bekendheid mislearret fan in masine bûten it kantoarnetwurk. De hiele folchoarder soe minuten duorje moatte en foar nimmen oars in nije útjefte freegje.

sudo swanctl --terminate --ike alice-laptop

Hâld in behearder-werstelpaad dat net fan it útskeakele akkount ôfhinklik is, en ferlykje pleatslike akkounts dy’t letter nei in adresboek ferhúzje. It doel is ienfâldich: ien persoan fuorthelje is in routinetaak, net in projekt dat it profyl fan alle oaren rekket. De pleatslike autentikaasje fan Access Server is ien dokumintearre foarbyld fan in winkel dy’t by dizze foarm past.