Putar akun VPN lokal tanpa kehilangan izinnya

Mengganti kata sandi VPN yang berfungsi tampak seperti perubahan dua baris, sampai akun yang dibangun ulang kembali dengan izin bawaan dan satu-satunya sesi manajemen hilang. Prosedur yang aman bergantung pada tempat kredensial disimpan dan protokol yang memakainya, bukan pada perintah mana yang paling pendek. Bandingkan kedua pendekatan sebelum menyentuh perangkat. Rotasi di tempat mempertahankan objek akun; penghapusan dan pembuatan ulang menggantinya, dan semua yang menunjuk ke sana ikut hilang.

Temukan penyimpanan mana yang benar-benar mengautentikasi sesi

Mulailah dari profil terowongan atau koneksi, bukan dari basis data pengguna. Profil menyebut metode autentikasi dan sering kali grup server, dan jika grup itu mengarah ke RADIUS atau TACACS+, nama pengguna lokal di perangkat hanya hiasan. Baca daftar autentikasi profil dan grup AAA yang dirujuknya sebelum merencanakan apa pun. Hanya ketika profil menyatakan lokal, akun di perangkat menjadi penting. Salah di sini dan Anda akan memutar kredensial yang tidak dipakai siapa pun sementara entri direktori yang sebenarnya tetap persis seperti semula.

Perangkat yang sama biasanya menampung dua populasi: administrator yang masuk ke perangkat itu, dan pengguna VPN yang mengakhiri terowongan. Keduanya bisa berbagi penyimpanan, dan itu tidak boleh diasumsikan.

Pembaruan di tempat versus hapus dan buat ulang

Rotasi di tempat mengubah satu atribut objek yang sudah ada. Tingkat hak istimewa, keanggotaan grup, atribut otorisasi, dan kebijakan apa pun yang merujuk akun itu tetap bertahan, karena tidak ada yang dihapus. Hapus dan buat ulang membangun ulang objek dari baris perintah, sehingga setiap bidang yang tidak Anda ulangi kembali ke nilai bawaannya. Pada perangkat tempat atribut per pengguna membawa penetapan terowongan terpisah atau kumpulan alamat, perbedaan itulah seluruh risikonya.

Pembangunan ulang punya satu kegunaan sah: ketika format yang disimpan sendiri harus berubah dan platform tidak menawarkan konversi. Bahkan kemudian, catat dulu entri yang ada, karena konfigurasi yang berjalan adalah satu-satunya inventaris akurat tentang apa yang dibawa akun itu. Salinan konfigurasi itu yang diambil sebelum perubahan lebih baik daripada rencana pengembalian yang ditulis dari ingatan.

Mengapa hash yang Anda miliki mungkin bukan rahasia yang dibutuhkannya

Format penyimpanan berbeda dengan cara yang menentukan jawabannya. Hash satu arah dapat memverifikasi kata sandi ketika server menerimanya dalam bentuk terang di dalam terowongan, tetapi metode tantangan-tanggapan membutuhkan rahasia bersama itu sendiri untuk menghitung intisari. Karena itu, mengubah setiap akun ke format satu arah terkuat dapat merusak CHAP atau MS-CHAP justru bagi pengguna yang bergantung padanya.

Putuskan berdasarkan protokol, bukan berdasarkan slogan. Di tempat metode membutuhkan rahasia yang dapat dipulihkan, persyaratan itu adalah batasan desain dan bukan kelalaian yang harus dibersihkan.

Sesi yang hidup lebih lama daripada kredensial

Mengubah kredensial tidak mengakhiri sesi yang sudah terautentikasi. Rekan dengan terowongan yang sudah terbentuk tetap bekerja sampai pembaruan kunci, autentikasi ulang, atau pemutusan eksplisit.

Rencanakan bagian itu secara terpisah, dan rencanakan sebelum perubahan. Jika kredensial bocor, membiarkan sesi hidup berjalan menggagalkan rotasi. Jika kredensial hanya kedaluwarsa, memaksa setiap rekan luring adalah gangguan yang tidak Anda perlukan. Jaga jalur administrasi kedua tetap terbuka selama bekerja, sebaiknya yang tidak bergantung pada akun yang sedang diedit, karena mode kegagalan di sini mencabut akses Anda tepat saat Anda membutuhkannya. Lalu verifikasi proses masuk baru dan sumber daya yang dapat dijangkau.

Buktikan izinnya bertahan

Masuk sebagai pengguna yang diputar dan periksa apa yang diberikan sesi, bukan sekadar bahwa sesi terbuka. Capai sumber daya yang memerlukan otorisasi yang seharusnya dibawa akun, dan coba satu yang seharusnya tidak dapat dijangkau. Proses masuk yang berhasil dengan akses menyempit atau melebar adalah perubahan yang gagal.

Bandingkan atribut otorisasi dalam konfigurasi yang berjalan dengan salinan yang Anda ambil di awal. Perhatikan keanggotaan grup, kumpulan alamat, pengaturan DNS dan terowongan terpisah, serta objek kebijakan apa pun yang menyebut akun itu. Lalu perbarui catatan tentang tempat kredensial itu berada, karena rotasi berikutnya dimulai dari catatan tersebut. Rotasi yang tidak dapat diulang siapa pun dari dokumentasi hanya pernah dilalui sekali.