Pojedinačni VPN identiteti za mali tim, bez imenika

Šest ljudi dijeli jednu VPN prijavu, jedan od njih odlazi, a jedini način da uklonite njegov pristup jest promijeniti tajnu koju koriste svi ostali. To je stvarni problem i za njegovo rješavanje nije potreban Active Directory. Mali ured može držati zasebne identitete u onom lokalnom spremištu koje podržava njegov gateway i ipak tretirati odlaske kao rutinu. Posao je u odabiru spremišta i u zapisivanju koraka uklanjanja prije nego što vam zatrebaju.

Počnite s vjerodajnicom koju svatko ima

Popišite s čime se svatko povezuje prije nego što odaberete backend. Jedan prijenosnik, telefon, možda kućno stolno računalo, a svaki od njih je zasebna vjerodajnica ili zasebni certifikat uređaja. Ako ne možete imenovati vjerodajnicu koju osoba ima, nećete je kasnije moći ukloniti.

Dvije osobe koje dijele jedan profil slučaj je koji svaki daljnji korak čini težim. Prvo to popravite, jer nijedan imenik ne rješava dijeljenu tajnu.

Odaberite spremište koje gateway zaista podržava

Odaberite spremište identiteta koje gateway već podržava, a ne ono koje biste željeli voditi. Gateway s lokalnom bazom korisnika može držati pojedinačne račune s politikom po korisniku. IKEv2 implementacija može mapirati EAP identitet na određenu tajnu, pod uvjetom da se klijentska metoda i verifikator podudaraju. Rješenja zasnovana na certifikatima mogu izdati po jedan certifikat na uređaj od zajedničkog autoriteta, što sidro povjerenja drži zajedničkim dok vjerodajnice ostaju zasebne.

Lokacija spremišta manje je važna od njegovih operacija: upisa, sigurnosne kopije, obnove i opoziva. Ako na bilo koju od njih nema odgovora, izbor nije dovršen.

Ako gateway nudi i lokalne račune i certifikate, prednost dajte onome što vaš tim može voditi u dva sata ujutro bez dobavljača na telefonu. Ta sklonost tiče se vremena oporavka, a ne toga koja je opcija tehnički jača.

Odvojite osobu od uređaja

Odredite što vjerodajnica predstavlja: osobu, uređaj ili oboje. Prijenosnik i telefon koji pripadaju jednom zaposleniku dva su uređaja i jedna osoba, a gubitak telefona ne mora nužno onemogućiti prijenosnik. Zapišite taj model, jer on određuje što uklanjanje znači.

Za svaku vjerodajnicu zabilježite vlasnika, uređaj, datum izdavanja i put opoziva. Držite taj zapis negdje gdje ga ured može pročitati bez osobe koja ga je postavila. Tablica s ta četiri stupca dovoljna je za šest ljudi i još se skalira na šezdeset.

Učinite uklanjanje običnom operacijom

Napišite proceduru odlaska prije prvog odlaska. Onemogućite identitet, prekinite svaku aktivnu sesiju i potvrdite da tunel zaista pada umjesto da čekate tajmer ponovne autentifikacije. Zatim provjerite da stara vjerodajnica ne uspijeva s računala izvan uredske mreže. Cijeli slijed treba trajati nekoliko minuta i ne zahtijevati ponovno izdavanje nikome drugom.

sudo swanctl --terminate --ike alice-laptop

Zadržite administratorski put oporavka koji ne ovisi o onemogućenom računu i uskladite lokalne račune koji kasnije prijeđu u imenik. Cilj je jednostavan: ukloniti jednu osobu rutinski je zadatak, a ne projekt koji dira profile svih ostalih. Lokalna autentifikacija u Access Serveru jedan je dokumentiran primjer spremišta koje odgovara ovom obliku.