Egyéni VPN-identitások egy kis csapatnak, címtár nélkül

Hat ember osztozik egy VPN-bejelentkezésen, egyikük távozik, és az egyetlen módja annak, hogy eltávolítsa a hozzáférését, ha megváltoztatja azt a titkot, amelyet mindenki más használ. Ez a valódi probléma, és a megoldásához nem kell Active Directory. Egy kis iroda külön identitásokat tarthat abban a helyi tárolóban, amelyet az átjárója támogat, és a távozásokat így is rutinként kezelheti. A munka a tároló kiválasztásában és az eltávolítás lépéseinek leírásában van, még mielőtt szükség lenne rájuk.

Kezdje a hitelesítő adattal, amellyel mindenki rendelkezik

Listázza, mivel csatlakozik mindenki, mielőtt backendet választ. Egy laptop, egy telefon, esetleg egy otthoni asztali gép, és ezek mindegyike külön hitelesítő adat vagy külön eszköztanúsítvány. Ha nem tudja megnevezni azt a hitelesítő adatot, amellyel egy ember rendelkezik, később nem tudja eltávolítani.

Két ember, akik egy profilt osztanak meg az az eset, amely minden további lépést nehezebbé tesz. Először ezt javítsa, mert egyetlen címtár sem old meg egy megosztott titkot.

Válassza azt a tárolót, amelyet az átjáró valóban támogat

Válassza azt az identitástárolót, amelyet az átjáró már támogat, ne azt, amelyiket szívesen futtatna. Egy helyi felhasználói adatbázissal rendelkező átjáró egyéni fiókokat tarthat felhasználónkénti házirenddel. Egy IKEv2-telepítés EAP-identitást rendelhet egy adott titokhoz, feltéve, hogy az ügyfélmódszer és az ellenőrző egyezik. A tanúsítványalapú megoldások eszközönként egy tanúsítványt bocsáthatnak ki egy közös hatóságtól, ami a bizalmi horgonyt közösen tartja, miközben a hitelesítő adatok külön maradnak.

A tároló helye kevésbé fontos, mint a műveletei: regisztráció, biztonsági mentés, megújítás és visszavonás. Ha ezek közül bármelyikre nincs válasz, a választás nincs kész.

Ha az átjáró helyi fiókokat és tanúsítványokat is kínál, azt válassza, amelyet csapata hajnali kettőkor is tud kezelni anélkül, hogy a szállító a telefonon lenne. Ez a preferencia a helyreállítási időről szól, nem arról, melyik lehetőség erősebb technikailag.

Válassza külön a személyt az eszközöktől

Döntse el, mit képvisel egy hitelesítő adat: egy személyt, egy eszközt vagy mindkettőt. Egy munkavállaló laptopja és telefonja két eszköz és egy személy, és a telefon elvesztése nem feltétlenül kapcsolja ki a laptopot. Írja le ezt a modellt, mert ez határozza meg, mit jelent az eltávolítás.

Minden hitelesítő adathoz rögzítse a tulajdonost, az eszközt, a kiállítás dátumát és a visszavonás útvonalát. Tartsa ezt a nyilvántartást olyan helyen, ahol az iroda el tudja olvasni anélkül a személy nélkül, aki beállította. Egy táblázat ezzel a négy oszloppal elég hat embernek, és még mindig skálázódik hatvanig.

Tegye az eltávolítást szokásos műveletté

Írja le a távozási eljárást az első távozás előtt. Tiltsa le az identitást, szüntessen meg minden aktív munkamenetet, és erősítse meg, hogy az alagút valóban megszakad, ahelyett hogy újrahitelesítési időzítőre várna. Ezután ellenőrizze, hogy a korábbi hitelesítő adat meghiúsul az irodai hálózaton kívüli gépről. Az egész sorozatnak percekig kell tartania, és senki másnak nem szabad újra kiállítást igényelnie.

sudo swanctl --terminate --ike alice-laptop

Tartson fenn egy adminisztrátori helyreállítási útvonalat, amely nem függ a letiltott fióktól, és egyeztesse azokat a helyi fiókokat, amelyek később címtárba kerülnek. A cél egyszerű: egy ember eltávolítása rutinfeladat, nem olyan projekt, amely mindenki más profilját érinti. Az Access Server helyi hitelesítése egy dokumentált példa az ilyen formába illeszkedő tárolóra.