Rote unha conta VPN local sen perder os seus permisos

Substituír un contrasinal VPN que funciona parece un cambio de dúas liñas ata que a conta reconstruída volve con permisos predeterminados e a única sesión de xestión desapareceu. O procedemento seguro depende de onde se garda a credencial e que protocolo a consome, non de que comando é máis curto. Compare os dous enfoques antes de tocar o dispositivo. A rotación in situ conserva o obxecto da conta; o borrado e a recreación substitúeno, e todo o que apuntaba a el vaise con el.

Determine que almacén autentica realmente a sesión

Comece polo perfil do túnel ou da conexión, non pola base de datos de usuarios. O perfil indica un método de autenticación e a miúdo un grupo de servidores, e se ese grupo apunta a RADIUS ou TACACS+, o nome de usuario local do equipo é mera decoración. Lea a lista de autenticación do perfil e o grupo AAA ao que fai referencia antes de planificar nada. Só cando o perfil di local importa a conta do equipo. Equivóquese e rotará unha credencial que ninguén usa mentres a entrada real do directorio permanece exactamente como estaba.

O mesmo dispositivo adoita albergar dúas poboacións: administradores que inician sesión nel e usuarios VPN que terminan un túnel. Poden compartir un almacén, e non se debe dar por feito que o fan.

Actualización in situ fronte a borrar e recrear

A rotación in situ cambia un só atributo dun obxecto existente. O nivel de privilexio, a pertenza a grupos, os atributos de autorización e calquera política que faga referencia á conta sobreviven, porque non se eliminou nada. O borrado e a recreación reconstruyen o obxecto desde unha liña de comandos, así que cada campo que non repetiu volve ao seu valor predeterminado. Nun dispositivo onde os atributos por usuario levan asignacións de túnel dividido ou de grupo de enderezos, esa diferenza é todo o risco.

A reconstrución ten un uso lexítimo: cando o propio formato almacenado ten que cambiar e a plataforma non ofrece ningunha conversión. Aínda así, rexistre primeiro a entrada existente, porque a configuración en execución é o único inventario exacto do que levaba a conta. Unha copia desa configuración tomada antes do cambio supera a un plan de reversión escrito de memoria.

Por que o hash que ten pode non ser o segredo que necesita

Os formatos de almacenamento difiren dun xeito que decide a resposta. Un hash dun só sentido pode verificar un contrasinal cando o servidor o recibe en claro dentro do túnel, pero un método de desafío-resposta necesita o propio segredo compartido para calcular o resumo. Por iso, converter todas as contas ao formato dun só sentido máis forte pode romper CHAP ou MS-CHAP precisamente para os usuarios que dependen del.

Decida por protocolo, non por eslogan. Onde o método necesita un segredo recuperable, ese requisito é unha restrición do deseño e non un descoido que haxa que limpar.

Sesións que sobreviven á credencial

Cambiar unha credencial non remata as sesións que xa se autenticaron. Un par cun túnel establecido segue funcionando ata a renovación de clave, a reautenticación ou unha desconexión explícita.

Planifique esa parte por separado e planifíquea antes do cambio. Se a credencial se filtrou, deixar sesións vivas en marcha bota por terra a rotación. Se só caducou, forzar todos os pares fóra de liña é unha interrupción que non necesitaba. Mantega unha segunda vía de administración aberta mentres traballa, preferiblemente unha que non dependa da conta que se está editando, porque o modo de fallo aquí quítalle o acceso xusto cando o necesita. Despois verifique un inicio de sesión novo e os recursos aos que pode chegar.

Demostre que os permisos sobreviviron

Inicie sesión como o usuario rotado e comprobe que concede a sesión, non só que se abriu. Chegue a un recurso que requira a autorización que a conta debe levar e probe un ao que non debería chegar. Un inicio de sesión correcto con acceso estreitado ou ampliado é un cambio fallido.

Compare os atributos de autorización da configuración en execución coa copia que tomou ao principio. Mire a pertenza a grupos, o grupo de enderezos, os axustes de DNS e de túnel dividido, e calquera obxecto de política que nomease a conta. Despois actualice o rexistro de onde vive esa credencial, xa que a seguinte rotación comeza nesa nota. Unha rotación que ninguén pode repetir a partir da documentación só se sobreviviu unha vez.