Առանձին VPN ինքնություններ փոքր թիմի համար՝ առանց գրացուցակի

Վեց մարդկանց միջև մեկ VPN մուտք է բաժանված, նրանցից մեկը հեռանում է, և նրա հասանելիությունը հեռացնելու միակ միջոցը բոլորի օգտագործած գաղտնիքը փոխելն է։ Դա է իրական խնդիրը, և այն լուծելու համար Active Directory պետք չէ։ Փոքր գրասենյակը կարող է առանձին ինքնություններ պահել ցանկացած տեղական պահոցում, որն աջակցում է իր դարպասը, և այնուամենայնիվ հեռացումները համարել սովորական։ Աշխատանքը պահոցն ընտրելու և հեռացման քայլերը նախապես գրի առնելու մեջ է։

Սկսեք յուրաքանչյուրի ձեռքի հավատարմագրից

Նախքան backend ընտրելը թվարկեք, թե յուրաքանչյուրը ինչով է միանում։ Մեկ նոթբուք, հեռախոս, գուցե տնային սեղանային համակարգիչ, և դրանցից յուրաքանչյուրը առանձին հավատարմագիր է կամ առանձին սարքի վկայական։ Եթե չեք կարող անվանել մարդու ձեռքի հավատարմագիրը, ապա չեք կարող հետո այն հեռացնել։

Երկու մարդիկ, ովքեր կիսում են մեկ պրոֆիլ, այն դեպքն է, որը դժվարացնում է յուրաքանչյուր հաջորդ քայլը։ Նախ դա շտկեք, որովհետև ոչ մի գրացուցակ չի լուծում ընդհանուր գաղտնիքը։

Ընտրեք այն պահոցը, որն իրոք աջակցում է դարպասը

Ընտրեք այն ինքնության պահոցը, որին դարպասն արդեն աջակցում է, ոչ թե այն, ինչը կուզենաք վարել։ Տեղական օգտվողի տվյալների բազայով դարպասը կարող է պահել առանձին հաշիվներ՝ յուրաքանչյուր օգտվողի համար քաղաքականությամբ։ IKEv2 տեղադրումը կարող է EAP ինքնությունը կապել կոնկրետ գաղտնիքի հետ, պայմանով որ հաճախորդի մեթոդն ու ստուգիչը համընկնում են։ Վկայականների վրա հիմնված լուծումները կարող են ընդհանուր մարմնից մեկ վկայական տալ յուրաքանչյուր սարքի, ինչը վստահության խարիսխը պահում է ընդհանուր, մինչ հավատարմագրերը մնում են առանձին։

Պահոցի տեղը պակաս կարևոր է, քան նրա գործողությունները՝ գրանցում, պահուստավորում, նորացում և չեղարկում։ Եթե դրանցից որևէ մեկին պատասխան չկա, ընտրությունը ավարտված չէ։

Եթե դարպասն առաջարկում է և՛ տեղական հաշիվներ, և՛ վկայականներ, նախընտրեք այն, ինչը ձեր թիմը կարող է գործարկել գիշերվա ժամը երկուսին՝ առանց մատակարարի հեռախոսին։ Այդ նախապատվությունը վերականգնման ժամանակի մասին է, ոչ թե այն մասին, թե որ տարբերակն է տեխնիկապես ավելի ուժեղ։

Առանձնացրեք մարդուն սարքերից

Որոշեք, թե ինչ է ներկայացնում հավատարմագիրը՝ մարդ, սարք, թե երկուսը։ Մեկ աշխատողի նոթբուքն ու հեռախոսը երկու սարք և մեկ մարդ են, և հեռախոսի կորուստը պարտադիր չէ, որ անջատի նոթբուքը։ Գրեք այդ մոդելը, որովհետև այն որոշում է, թե ինչ է նշանակում հեռացում։

Յուրաքանչյուր հավատարմագրի համար գրանցեք սեփականատերը, սարքը, տրամադրման ամսաթիվը և չեղարկման ուղին։ Պահեք այդ գրառումը մի տեղում, որտեղ գրասենյակը կարող է կարդալ այն առանց այն տեղադրած մարդու։ Այդ չորս սյունակով աղյուսակը բավական է վեց մարդու համար և դեռ մասշտաբավորվում է մինչև վաթսուն։

Հեռացումը դարձրեք սովորական գործողություն

Գրեք հեռանալու ընթացակարգը մինչև առաջին հեռանալը։ Անջատեք ինքնությունը, դադարեցրեք ցանկացած ակտիվ սեսիա և հաստատեք, որ թունելն իսկապես ընկնում է, այլ ոչ թե սպասում եք վերահաստատման ժամաչափի։ Ապա ստուգեք, որ նախկին հավատարմագիրը ձախողվում է գրասենյակի ցանցից դուրս գտնվող մեքենայից։ Ամբողջ հաջորդականությունը պետք է տևի րոպեներ և ոչ ոքի այլ վերաթողարկում չպահանջի։

sudo swanctl --terminate --ike alice-laptop

Պահեք ադմինիստրատորի վերականգնման ուղի, որը կախված չէ անջատված հաշվից, և համաձայնեցրեք տեղական հաշիվները, որոնք հետագայում կտեղափոխվեն գրացուցակ։ Նպատակը պարզ է՝ մեկ մարդու հեռացումը սովորական աշխատանք է, ոչ թե նախագիծ, որը դիպչում է բոլորի պրոֆիլներին։ Access Server-ի տեղական նույնականացումը այս ձևին համապատասխան պահոցի մեկ փաստաթղթավորված օրինակ է։