Ruota un account VPN locale senza perdere i suoi permessi

Sostituire una password VPN funzionante sembra una modifica di due righe, finché l'account ricostruito non torna con i permessi predefiniti e l'unica sessione di gestione non è più disponibile. La procedura sicura dipende da dove è memorizzata la credenziale e da quale protocollo la consuma, non da quale comando è più breve. Confronta i due approcci prima di toccare il dispositivo. La rotazione sul posto conserva l'oggetto dell'account; l'eliminazione e la ricreazione lo sostituiscono, e tutto ciò che puntava ad esso se ne va con lui.

Scopri quale archivio autentica davvero la sessione

Parti dal profilo del tunnel o della connessione, non dal database degli utenti. Il profilo indica un metodo di autenticazione e spesso un gruppo di server, e se quel gruppo punta a RADIUS o TACACS+, il nome utente locale sul dispositivo è solo decorazione. Leggi l'elenco di autenticazione del profilo e il gruppo AAA a cui fa riferimento prima di pianificare qualsiasi cosa. Solo quando il profilo dice locale l'account sul dispositivo conta. Sbagli questo e ruoterai una credenziale che nessuno usa, mentre la voce reale della directory resta esattamente com'era.

Lo stesso dispositivo ospita di solito due popolazioni: amministratori che vi accedono e utenti VPN che terminano un tunnel. Possono condividere un archivio, e non va dato per scontato che lo facciano.

Aggiornamento sul posto contro eliminazione e ricreazione

La rotazione sul posto cambia un solo attributo di un oggetto esistente. Livello di privilegio, appartenenza ai gruppi, attributi di autorizzazione e qualsiasi criterio che faccia riferimento all'account sopravvivono, perché non è stato rimosso nulla. L'eliminazione e la ricreazione ricostruiscono l'oggetto da una riga di comando, quindi ogni campo che non hai ripetuto torna al valore predefinito. Su un dispositivo in cui gli attributi per utente portano assegnazioni di tunnel diviso o di pool di indirizzi, quella differenza è tutto il rischio.

La ricostruzione ha un uso legittimo: quando il formato memorizzato stesso deve cambiare e la piattaforma non offre alcuna conversione. Anche in quel caso, registra prima la voce esistente, perché la configurazione in esecuzione è l'unico inventario accurato di ciò che l'account portava. Una copia di quella configurazione presa prima della modifica vale più di un piano di ripristino scritto a memoria.

Perché l'hash che hai potrebbe non essere il segreto di cui ha bisogno

I formati di memorizzazione differiscono in un modo che decide la risposta. Un hash a senso unico può verificare una password quando il server la riceve in chiaro all'interno del tunnel, ma un metodo challenge-response ha bisogno del segreto condiviso stesso per calcolare il digest. Convertire ogni account nel formato a senso unico più forte può quindi rompere CHAP o MS-CHAP proprio per gli utenti che ne dipendono.

Decidi per protocollo, non per slogan. Dove il metodo richiede un segreto recuperabile, quel requisito è un vincolo di progettazione e non una svista da ripulire.

Sessioni che sopravvivono alla credenziale

Cambiare una credenziale non termina le sessioni già autenticate. Un peer con un tunnel stabilito continua a funzionare fino al rinnovo della chiave, alla riautenticazione o a una disconnessione esplicita.

Pianifica quella parte separatamente e pianificala prima della modifica. Se la credenziale è trapelata, lasciare attive le sessioni in corso annulla la rotazione. Se è solo scaduta, forzare ogni peer offline è un'interruzione di cui non avevi bisogno. Tieni aperto un secondo percorso di amministrazione mentre lavori, preferibilmente uno che non dipenda dall'account in fase di modifica, perché la modalità di guasto qui ti toglie l'accesso proprio quando ti serve. Poi verifica un nuovo accesso e le risorse che può raggiungere.

Dimostra che i permessi sono sopravvissuti

Accedi come utente ruotato e controlla cosa concede la sessione, non solo che si sia aperta. Raggiungi una risorsa che richiede l'autorizzazione che l'account dovrebbe portare e provane una a cui non dovrebbe arrivare. Un accesso riuscito con permessi ridotti o ampliati è una modifica fallita.

Confronta gli attributi di autorizzazione nella configurazione in esecuzione con la copia presa all'inizio. Guarda l'appartenenza ai gruppi, il pool di indirizzi, le impostazioni DNS e di tunnel diviso e qualsiasi oggetto di criterio che nominasse l'account. Poi aggiorna la registrazione di dove vive quella credenziale, perché la rotazione successiva parte da quella nota. Una rotazione che nessuno può ripetere dalla documentazione è stata superata solo una volta.