Identidades VPN individuais para un equipo pequeno, sen directorio

Seis persoas comparten un inicio de sesión VPN, unha delas marcha, e a única forma de retirar o seu acceso é cambiar o segredo que usan todas as demais. Ese é o problema real, e non fai falta Active Directory para resolvelo. Unha oficina pequena pode manter identidades separadas no almacén local que admita a súa pasarela e aínda así tratar as saídas como rutina. O traballo está en escoller o almacén e escribir os pasos de retirada antes de necesitalos.

Comece pola credencial que ten cada persoa

Enumere con que se conecta cada persoa antes de escoller un backend. Un portátil, un teléfono, quizais un ordenador de sobremesa na casa, e cada un deles é unha credencial separada ou un certificado de dispositivo separado. Se non pode nomear a credencial que ten unha persoa, non poderá retirala máis adiante.

Dúas persoas que comparten un perfil é o caso que fai máis difícil cada paso seguinte. Arranxe iso primeiro, porque ningún directorio resolve un segredo compartido.

Escolla o almacén que a pasarela admite de verdade

Escolla o almacén de identidades que a pasarela xa admite, non o que lle gustaría executar. Unha pasarela cunha base de datos local de usuarios pode manter contas individuais con política por usuario. Un despregamento de IKEv2 pode asignar unha identidade EAP a un segredo concreto, sempre que o método do cliente e o verificador coincidan. As configuracións baseadas en certificados poden emitir un certificado por dispositivo desde unha autoridade común, o que mantén a áncora de confianza compartida mentres as credenciais seguen separadas.

A localización do almacén importa menos que as súas operacións: alta, copia de seguridade, renovación e revocación. Se algunha delas non ten resposta, a elección non está rematada.

Se a pasarela ofrece contas locais e certificados, prefira a que o seu equipo poida operar ás dúas da madrugada sen o provedor ao teléfono. Ese criterio ten que ver co tempo de recuperación, non con cal opción é tecnicamente máis forte.

Separe a persoa dos dispositivos

Decida que representa unha credencial: unha persoa, un dispositivo ou ambos. Un portátil e un teléfono dun mesmo empregado son dous dispositivos e unha persoa, e perder o teléfono non debería desactivar necesariamente o portátil. Escriba ese modelo, porque determina que significa retirar.

Rexistre o propietario, o dispositivo, a data de emisión e a ruta de revocación de cada credencial. Garde ese rexistro nun lugar onde a oficina poida lelo sen a persoa que o configurou. Unha táboa con esas catro columnas abonda para seis persoas e aínda escala ata sesenta.

Converta a retirada nunha operación habitual

Escriba o procedemento de saída antes da primeira saída. Desactive a identidade, remate calquera sesión activa e confirme que o túnel cae de verdade en lugar de agardar un temporizador de reautenticación. Despois comprobe que a credencial anterior falla desde unha máquina fóra da rede da oficina. Toda a secuencia debería levar minutos e non esixir unha reemisión para ninguén máis.

sudo swanctl --terminate --ike alice-laptop

Manteña unha ruta de recuperación de administrador que non dependa da conta desactivada e concilie as contas locais que máis adiante pasen a un directorio. O obxectivo é simple: retirar unha persoa é unha tarefa rutineira, non un proxecto que toque o perfil de todas as demais. A autenticación local de Access Server é un exemplo documentado dun almacén que encaixa nesta forma.