Zakrenite lokalni VPN račun bez gubitka njegovih dopuštenja

Zamjena radne VPN lozinke izgleda kao promjena u dva retka, sve dok se ponovno izgrađeni račun ne vrati sa zadanim dopuštenjima i dok jedina upravljačka sesija ne nestane. Siguran postupak ovisi o tome gdje je vjerodajnica pohranjena i koji je protokol koristi, a ne o tome koja je naredba najkraća. Usporedite dva pristupa prije nego što dotaknete uređaj. Rotacija na mjestu čuva objekt računa; brisanje i ponovno stvaranje zamjenjuje ga, i sve što je na njega pokazivalo odlazi s njim.

Pronađite koje spremište zapravo autentificira sesiju

Počnite od profila tunela ili veze, a ne od korisničke baze podataka. Profil navodi metodu autentifikacije i često poslužiteljsku grupu, a ako ta grupa pokazuje na RADIUS ili TACACS+, lokalno korisničko ime na uređaju je samo ukras. Pročitajte popis autentifikacije profila i AAA grupu na koju se poziva prije nego što bilo što planirate. Samo kada profil kaže lokalno, račun na uređaju je važan. Pogriješite li ovo, zakrenut ćete vjerodajnicu koju nitko ne koristi dok stvarni zapis u imeniku ostaje točno onakav kakav je bio.

Isti uređaj obično drži dvije populacije: administratore koji se prijavljuju na njega i VPN korisnike koji prekidaju tunel. Oni mogu dijeliti spremište i ne treba pretpostavljati da dijele.

Ažuriranje na mjestu nasuprot brisanju i ponovnom stvaranju

Rotacija na mjestu mijenja jedan atribut postojećeg objekta. Razina privilegija, članstvo u grupi, atributi autorizacije i svaka politika koja upućuje na račun preživljavaju, jer ništa nije uklonjeno. Brisanje i ponovno stvaranje ponovno gradi objekt iz naredbenog retka, pa se svako polje koje niste ponovili vraća na zadanu vrijednost. Na uređaju gdje atributi po korisniku nose dodjele podijeljenog tunela ili adresnog skupa, ta razlika je cijeli rizik.

Ponovna izgradnja ima jednu legitimnu upotrebu: kada se sam pohranjeni format mora promijeniti, a platforma ne nudi konverziju. Čak i tada prvo zabilježite postojeći zapis, jer je radna konfiguracija jedini točan popis onoga što je račun nosio. Kopija te konfiguracije uzeta prije promjene bolja je od plana vraćanja napisanog po sjećanju.

Zašto heš koji imate možda nije tajna koja mu je potrebna

Formati pohrane razlikuju se na način koji odlučuje odgovor. Jednosmjerni heš može provjeriti lozinku kada je poslužitelj primi u čistom obliku unutar tunela, ali metoda izazov-odgovor treba samu dijeljenu tajnu da bi izračunala sažetak. Zato pretvaranje svakog računa u najjači jednosmjerni format može slomiti CHAP ili MS-CHAP upravo onim korisnicima koji o njemu ovise.

Odlučujte prema protokolu, a ne prema paroli. Gdje metoda zahtijeva obnovljivu tajnu, taj je zahtjev ograničenje dizajna, a ne propust koji treba počistiti.

Sesije koje nadžive vjerodajnicu

Promjena vjerodajnice ne prekida sesije koje su se već autentificirale. Partner s uspostavljenim tunelom nastavlja raditi do obnove ključa, ponovne autentifikacije ili izričitog prekida.

Isplanirajte taj dio odvojeno i isplanirajte ga prije promjene. Ako je vjerodajnica procurila, ostavljanje živih sesija poništava rotaciju. Ako je samo istekla, prisiljavanje svakog partnera na izvanmrežni rad je prekid koji vam nije trebao. Držite drugi administrativni put otvoren dok radite, po mogućnosti onaj koji ne ovisi o računu koji se uređuje, jer način kvara ovdje uklanja vaš pristup točno kada vam treba. Zatim provjerite novu prijavu i resurse do kojih može doći.

Dokažite da su dopuštenja preživjela

Prijavite se kao zakrenuti korisnik i provjerite što sesija daje, a ne samo da se otvorila. Dođite do resursa koji zahtijeva autorizaciju koju račun treba nositi i pokušajte jedan do kojeg ne bi trebao doći. Uspješna prijava sa suženim ili proširenim pristupom je neuspješna promjena.

Usporedite atribute autorizacije u radnoj konfiguraciji s kopijom koju ste uzeli na početku. Pogledajte članstvo u grupi, adresni skup, DNS i postavke podijeljenog tunela, i svaki politički objekt koji je imenovao račun. Zatim ažurirajte zapis o tome gdje ta vjerodajnica živi, jer sljedeća rotacija počinje od te bilješke. Rotacija koju nitko ne može ponoviti iz dokumentacije samo je jednom preživljena.