זהויות VPN נפרדות לצוות קטן, בלי ספרייה

שישה אנשים חולקים כניסת VPN אחת, אחד מהם עוזב, והדרך היחידה להסיר את הגישה שלו היא לשנות את הסוד שכולם משתמשים בו. זו הבעיה האמיתית, והיא לא דורשת Active Directory כדי להיפתר. משרד קטן יכול להחזיק זהויות נפרדות בכל מאגר מקומי שהשער שלו תומך בו, ועדיין להתייחס לעזיבות כשגרה. העבודה היא בבחירת המאגר ובכתיבת שלבי ההסרה לפני שצריך אותם.

התחילו באישור שכל אדם מחזיק

רשמו במה כל אדם מתחבר לפני בחירת backend. מחשב נייד אחד, טלפון, אולי מחשב שולחני בבית, וכל אחד מהם הוא אישור נפרד או תעודת מכשיר נפרדת. אם אינכם יכולים לנקוב בשם האישור שאדם מחזיק, לא תוכלו להסיר אותו אחר כך.

שני אנשים שחולקים פרופיל אחד הוא המקרה שהופך כל שלב אחר לקשה יותר. תקנו את זה קודם, כי שום ספרייה לא פותרת סוד משותף.

בחרו במאגר שהשער באמת תומך בו

בחרו במאגר הזהויות שהשער כבר תומך בו, ולא בזה שהייתם רוצים להריץ. שער עם מסד משתמשים מקומי יכול להחזיק חשבונות נפרדים עם מדיניות לכל משתמש. פריסת IKEv2 יכולה למפות זהות EAP לסוד מסוים, בתנאי ששיטת הלקוח והמאמת תואמים. תצורות מבוססות תעודות יכולות להנפיק תעודה אחת לכל מכשיר מרשות משותפת, מה שמשאיר את עוגן האמון משותף בעוד האישורים נשארים נפרדים.

מיקום המאגר פחות חשוב מהפעולות שלו: רישום, גיבוי, חידוש ושלילה. אם לאחת מהן אין תשובה, הבחירה לא הושלמה.

אם השער מציע גם חשבונות מקומיים וגם תעודות, העדיפו את זה שהצוות שלכם יכול להפעיל בשתיים לפנות בוקר בלי הספק על הקו. ההעדפה הזו עוסקת בזמן ההתאוששות, לא בשאלה איזו אפשרות חזקה יותר מבחינה טכנית.

הפרידו את האדם מהמכשירים

החליטו מה אישור מייצג: אדם, מכשיר, או שניהם. מחשב נייד וטלפון של עובד אחד הם שני מכשירים ואדם אחד, ואובדן הטלפון לא אמור בהכרח להשבית את המחשב הנייד. כתבו את המודל הזה, כי הוא קובע מה המשמעות של הסרה.

תעדו את הבעלים, המכשיר, תאריך ההנפקה ונתיב השלילה לכל אישור. שמרו את התיעוד במקום שהמשרד יכול לקרוא בלי האדם שהגדיר אותו. טבלה עם ארבע העמודות האלה מספיקה לשישה אנשים ועדיין מתרחבת לשישים.

הפכו את ההסרה לפעולה שגרתית

כתבו את נוהל העזיבה לפני העזיבה הראשונה. השביתו את הזהות, סיימו כל הפעלה פעילה, ואשרו שהמנהרה באמת נופלת במקום להמתין לטיימר אימות מחדש. אחר כך בדקו שהאישור הקודם נכשל ממחשב מחוץ לרשת המשרד. כל הרצף אמור לקחת דקות ולא לדרוש הנפקה מחדש לאף אחד אחר.

sudo swanctl --terminate --ike alice-laptop

החזיקו נתיב התאוששות של מנהל שאינו תלוי בחשבון המושבת, ותאמו חשבונות מקומיים שיעברו מאוחר יותר לספרייה. המטרה פשוטה: הסרת אדם אחד היא משימה שגרתית, לא פרויקט שנוגע בפרופיל של כל האחרים. אימות מקומי של Access Server הוא דוגמה מתועדת למאגר שמתאים לצורה הזו.