छोटी टीम के लिए अलग-अलग VPN पहचान, बिना डायरेक्टरी

छह लोग एक VPN लॉगिन साझा करते हैं, उनमें से एक चला जाता है, और उसकी पहुँच हटाने का एकमात्र तरीका वह रहस्य बदलना है जो बाकी सब उपयोग करते हैं। यही असली समस्या है, और इसे हल करने के लिए Active Directory की ज़रूरत नहीं है। छोटा दफ़्तर अपने गेटवे जिस स्थानीय स्टोर का समर्थन करता है उसमें अलग पहचान रख सकता है और फिर भी जाने को सामान्य बात मान सकता है। काम स्टोर चुनने में और ज़रूरत पड़ने से पहले हटाने के चरण लिखने में है।

हर व्यक्ति के पास मौजूद क्रेडेंशियल से शुरू करें

बैकएंड चुनने से पहले सूची बनाएँ कि हर व्यक्ति किससे जुड़ता है। एक लैपटॉप, एक फ़ोन, शायद घर का डेस्कटॉप, और इनमें से हर एक अलग क्रेडेंशियल या अलग डिवाइस प्रमाणपत्र है। अगर आप किसी व्यक्ति के पास मौजूद क्रेडेंशियल का नाम नहीं बता सकते, तो आप उसे बाद में हटा नहीं सकते।

एक प्रोफ़ाइल साझा करने वाले दो लोग वह स्थिति है जो हर अगले कदम को कठिन बनाती है। पहले उसे ठीक करें, क्योंकि कोई भी डायरेक्टरी साझा रहस्य नहीं सुलझाती।

वह स्टोर चुनें जिसका गेटवे वाकई समर्थन करता है

वह पहचान-स्टोर चुनें जिसका गेटवे पहले से समर्थन करता है, न कि वह जिसे आप चलाना चाहेंगे। स्थानीय उपयोगकर्ता डेटाबेस वाला गेटवे प्रति उपयोगकर्ता नीति के साथ अलग-अलग खाते रख सकता है। IKEv2 परिनियोजन EAP पहचान को किसी विशिष्ट रहस्य से जोड़ सकता है, बशर्ते क्लाइंट विधि और सत्यापनकर्ता मेल खाएँ। प्रमाणपत्र आधारित सेटअप एक साझा प्राधिकरण से प्रति डिवाइस एक प्रमाणपत्र जारी कर सकते हैं, जिससे भरोसे का लंगर साझा रहता है जबकि क्रेडेंशियल अलग रहते हैं।

स्टोर की जगह उसके संचालन से कम मायने रखती है: नामांकन, बैकअप, नवीनीकरण और निरसन। अगर इनमें से किसी का उत्तर नहीं है, तो चुनाव पूरा नहीं हुआ।

अगर गेटवे स्थानीय खाते और प्रमाणपत्र दोनों देता है, तो वह चुनें जिसे आपकी टीम रात दो बजे विक्रेता के फ़ोन पर हुए बिना चला सके। यह पसंद वसूली समय के बारे में है, इस बारे में नहीं कि कौन-सा विकल्प तकनीकी रूप से मज़बूत है।

व्यक्ति को डिवाइस से अलग रखें

तय करें कि क्रेडेंशियल क्या दर्शाता है: व्यक्ति, डिवाइस, या दोनों। एक कर्मचारी का लैपटॉप और फ़ोन दो डिवाइस और एक व्यक्ति हैं, और फ़ोन खोने से लैपटॉप का बंद होना ज़रूरी नहीं है। वह मॉडल लिख लें, क्योंकि वही तय करता है कि हटाने का अर्थ क्या है।

हर क्रेडेंशियल के लिए मालिक, डिवाइस, जारी करने की तारीख और निरसन का मार्ग दर्ज करें। वह रिकॉर्ड ऐसी जगह रखें जहाँ दफ़्तर उसे सेटअप करने वाले व्यक्ति के बिना पढ़ सके। उन चार कॉलम वाली तालिका छह लोगों के लिए पर्याप्त है और फिर भी साठ तक बढ़ती है।

हटाने को सामान्य कार्यवाही बनाएँ

पहले जाने से पहले जाने की प्रक्रिया लिखें। पहचान अक्षम करें, कोई भी सक्रिय सत्र समाप्त करें, और पुनःप्रमाणीकरण टाइमर की प्रतीक्षा करने के बजाय पुष्टि करें कि सुरंग वाकई गिरती है। फिर जाँचें कि पुराना क्रेडेंशियल दफ़्तर नेटवर्क के बाहर की मशीन से विफल होता है। पूरे क्रम में मिनट लगने चाहिए और किसी और के लिए पुनः जारी करने की ज़रूरत नहीं होनी चाहिए।

sudo swanctl --terminate --ike alice-laptop

अक्षम खाते पर निर्भर न रहने वाला प्रशासक वसूली मार्ग रखें, और बाद में डायरेक्टरी में जाने वाले स्थानीय खातों का मेल कराएँ। लक्ष्य सरल है: एक व्यक्ति को हटाना सामान्य काम है, बाकी सबकी प्रोफ़ाइल छूने वाली परियोजना नहीं। Access Server का स्थानीय प्रमाणीकरण इस आकार में फ़िट होने वाले स्टोर का एक प्रलेखित उदाहरण है।