Պտտեք տեղական VPN հաշիվը՝ չկորցնելով դրա թույլտվությունները

Աշխատող VPN գաղտնաբառի փոխարինումը թվում է երկու տողի փոփոխություն, մինչև վերակառուցված հաշիվը վերադառնա լռելյայն թույլտվություններով, և միակ կառավարման նստաշրջանը անհետանա։ Անվտանգ ընթացակարգը կախված է նրանից, թե որտեղ է պահվում հավատարմագրումը և որ արձանագրությունն է այն օգտագործում, ոչ թե նրանից, թե որ հրամանն է ամենակարճը։ Համեմատեք երկու մոտեցումները սարքին դիպչելուց առաջ։ Տեղում պտտումը պահպանում է հաշվի օբյեկտը. ջնջումն ու վերստեղծումը փոխարինում են այն, և այն ամենը, ինչ մատնանշում էր դրան, գնում է նրա հետ։

Պարզեք, թե որ պահոցն է իրականում վավերացնում նստաշրջանը

Սկսեք թունելի կամ կապի պրոֆիլից, ոչ թե օգտատերերի տվյալների բազայից։ Պրոֆիլը նշում է վավերացման մեթոդ և հաճախ սերվերների խումբ, և եթե այդ խումբը մատնանշում է RADIUS կամ TACACS+, ապա սարքի տեղական օգտանունը պարզապես զարդարանք է։ Կարդացեք պրոֆիլի վավերացման ցանկը և AAA խումբը, որին այն հղում է, նախքան որևէ բան պլանավորելը։ Միայն երբ պրոֆիլն ասում է տեղական, սարքի հաշիվն է կարևոր։ Սխալվեք այստեղ, և դուք կպտտեք հավատարմագրում, որ ոչ ոք չի օգտագործում, մինչդեռ գրացուցակի իրական գրառումը մնում է ճիշտ այնպիսին, ինչպիսին եղել է։

Նույն սարքը սովորաբար պահում է երկու բնակչություն՝ ադմինիստրատորներ, ովքեր մուտք են գործում այնտեղ, և VPN օգտատերեր, ովքեր ավարտում են թունելը։ Նրանք կարող են կիսել պահոցը, և չպետք է ենթադրել, որ այդպես է։

Տեղում թարմացում ընդդեմ ջնջելու և վերստեղծելու

Տեղում պտտումը փոխում է գոյություն ունեցող օբյեկտի մեկ ատրիբուտ։ Արտոնությունների մակարդակը, խմբի անդամակցությունը, լիազորման ատրիբուտները և ցանկացած քաղաքականություն, որը հղում է հաշվին, գոյատևում են, որովհետև ոչինչ չի հեռացվել։ Ջնջումն ու վերստեղծումը վերակառուցում են օբյեկտը հրամանի տողից, ուստի ձեր չկրկնած յուրաքանչյուր դաշտ վերադառնում է լռելյայն արժեքին։ Այն սարքում, որտեղ մեկ օգտատիրոջ ատրիբուտները կրում են բաժանված թունելի կամ հասցեների լողավազանի նշանակումներ, այդ տարբերությունն ամբողջ ռիսկն է։

Վերակառուցումն ունի մեկ օրինական կիրառություն՝ երբ պահված ձևաչափն ինքնին պետք է փոխվի, և հարթակը փոխակերպում չի առաջարկում։ Նույնիսկ այդ դեպքում նախ գրանցեք գոյություն ունեցող գրառումը, որովհետև գործող կոնֆիգուրացիան հաշվի կրածի միակ ճշգրիտ գույքագրումն է։ Այդ կոնֆիգուրացիայի՝ փոփոխությունից առաջ արված պատճենը ավելի լավն է, քան հիշողությունից գրված հետադարձ պլանը։

Ինչու ձեր ունեցած հեշը կարող է այն գաղտնիքը չլինել, որն իրեն պետք է

Պահման ձևաչափերը տարբերվում են այնպես, որ դա որոշում է պատասխանը։ Միակողմանի հեշը կարող է ստուգել գաղտնաբառը, երբ սերվերը ստանում է այն բաց տեսքով թունելի ներսում, բայց մարտահրավեր-պատասխան մեթոդին անհրաժեշտ է հենց համօգտագործվող գաղտնիքը՝ ամփոփումը հաշվարկելու համար։ Ուստի յուրաքանչյուր հաշիվ ամենաուժեղ միակողմանի ձևաչափի վերածելը կարող է կոտրել CHAP-ը կամ MS-CHAP-ը հենց այն օգտատերերի համար, ովքեր կախված են դրանից։

Որոշեք ըստ արձանագրության, ոչ ըստ կարգախոսի։ Այնտեղ, որտեղ մեթոդը պահանջում է վերականգնվող գաղտնիք, այդ պահանջը ձևավորման սահմանափակում է, ոչ թե մաքրման ենթակա անփութություն։

Նստաշրջաններ, որոնք ապրում են ավելի երկար, քան հավատարմագրումը

Հավատարմագրման փոփոխությունը չի ավարտում արդեն վավերացված նստաշրջանները։ Հաստատված թունելով զույգը շարունակում է աշխատել մինչև բանալու թարմացում, կրկնակի վավերացում կամ բացահայտ անջատում։

Պլանավորեք այդ մասը առանձին և պլանավորեք այն փոփոխությունից առաջ։ Եթե հավատարմագրումը արտահոսել է, կենդանի նստաշրջանները թողնելը չեղարկում է պտտումը։ Եթե այն պարզապես հնացել է, յուրաքանչյուր զույգի ստիպողաբար անցանց դարձնելը ընդհատում է, որ ձեզ պետք չէր։ Աշխատելիս բաց պահեք կառավարման երկրորդ ուղին, գերադասելի է այնպիսին, որը կախված չէ խմբագրվող հաշվից, որովհետև այստեղ ձախողման եղանակը վերցնում է ձեր մուտքը հենց այն պահին, երբ այն պետք է։ Ապա ստուգեք նոր մուտքը և ռեսուրսները, որոնց այն կարող է հասնել։

Ապացուցեք, որ թույլտվությունները գոյատևել են

Մուտք գործեք որպես պտտված օգտատեր և ստուգեք, թե ինչ է տալիս նստաշրջանը, ոչ միայն այն, որ այն բացվել է։ Հասեք ռեսուրսի, որը պահանջում է այն լիազորությունը, որը հաշիվը պետք է կրի, և փորձեք մեկը, որին այն չպետք է հասնի։ Հաջող մուտքը նեղացված կամ ընդլայնված հասանելիությամբ ձախողված փոփոխություն է։

Համեմատեք գործող կոնֆիգուրացիայի լիազորման ատրիբուտները սկզբում վերցրած պատճենի հետ։ Նայեք խմբի անդամակցությանը, հասցեների լողավազանին, DNS-ի և բաժանված թունելի կարգավորումներին և ցանկացած քաղաքականության օբյեկտի, որը նշել է հաշիվը։ Ապա թարմացրեք այն գրառումը, թե որտեղ է ապրում այդ հավատարմագրումը, քանի որ հաջորդ պտտումը սկսվում է այդ նշումից։ Պտտումը, որը ոչ ոք չի կարող կրկնել փաստաթղթերից, գոյատևել է միայն մեկ անգամ։