権限を失わずにローカル VPN アカウントをローテーションする

稼働中の VPN パスワードの置き換えは二行の変更に見えますが、再構築したアカウントが既定の権限で戻り、唯一の管理セッションが失われるまでそう見えるだけです。安全な手順は、資格情報がどこに保存され、どのプロトコルがそれを消費するかで決まり、どのコマンドが最短かでは決まりません。デバイスに触れる前に二つのアプローチを比較してください。その場でのローテーションはアカウントオブジェクトを保持します。削除して作り直すと置き換わり、それを指していたものすべてが一緒に失われます。

セッションを実際に認証している保管場所を特定する

ユーザーデータベースではなく、トンネルまたは接続プロファイルから始めます。プロファイルは認証方式と多くの場合サーバーグループを指定しており、そのグループが RADIUS や TACACS+ を指しているなら、デバイス上のローカルユーザー名は単なる飾りです。何かを計画する前に、プロファイルの認証リストとそれが参照する AAA グループを読んでください。プロファイルがローカルと言っている場合にだけ、デバイス上のアカウントが問題になります。ここを間違えると、誰も使っていない資格情報をローテーションしながら、実際のディレクトリエントリは以前とまったく同じままになります。

同じデバイスには通常二つの集団が存在します。それにログインする管理者と、トンネルを終端する VPN ユーザーです。両者が同じ保管場所を共有することはありますが、共有していると決めつけてはいけません。

その場での更新と削除・再作成の比較

その場でのローテーションは既存オブジェクトの一つの属性を変更します。特権レベル、グループメンバーシップ、承認属性、アカウントを参照するあらゆるポリシーは、何も削除されていないため存続します。削除して作り直すとコマンドラインからオブジェクトを再構築するので、繰り返さなかったフィールドはすべて既定値に戻ります。ユーザーごとの属性がスプリットトンネルやアドレスプールの割り当てを担うデバイスでは、その違いがリスクのすべてです。

再構築に正当な用途は一つあります。保存形式そのものを変更する必要があり、プラットフォームが変換を提供しない場合です。その場合でも、まず既存のエントリを記録してください。稼働中の構成だけが、アカウントが何を担っていたかの唯一の正確な目録だからです。変更前に取得したその構成のコピーは、記憶から書いたロールバック計画より優れています。

手元のハッシュが必要な秘密ではないかもしれない理由

保存形式は答えを左右する形で異なります。一方向ハッシュは、サーバーがトンネル内で平文として受け取るときにパスワードを検証できますが、チャレンジレスポンス方式はダイジェストを計算するために共有秘密そのものを必要とします。そのため、すべてのアカウントを最強の一方向形式に変換すると、それに依存するユーザーに限って CHAP や MS-CHAP を壊す可能性があります。

スローガンではなくプロトコルで判断してください。方式が復元可能な秘密を必要とする場合、その要件は設計上の制約であり、片付けるべき見落としではありません。

資格情報より長く生きるセッション

資格情報を変更しても、すでに認証されたセッションは終了しません。トンネルを確立したピアは、鍵の更新、再認証、または明示的な切断まで動作し続けます。

その部分は別に計画し、変更前に計画してください。資格情報が漏えいしたなら、生きたセッションを動かしたままにするのはローテーションを無意味にします。単に期限切れになっただけなら、すべてのピアをオフラインに強制するのは不要な停止です。作業中は二つ目の管理経路を開いておいてください。できれば編集対象のアカウントに依存しない経路がよいでしょう。ここでの故障モードは、まさに必要とするときにアクセスを奪うからです。その後、新しいサインインとそれが到達できるリソースを検証してください。

権限が存続したことを証明する

ローテーションしたユーザーとしてサインインし、セッションが何を許可するかを確認してください。開いたかどうかだけでは足りません。アカウントが担うはずの承認を必要とするリソースに到達し、到達すべきでないリソースも試してください。権限が狭まった、あるいは広がった状態でのログイン成功は、失敗した変更です。

稼働中の構成の承認属性を、開始時に取得したコピーと比較してください。グループメンバーシップ、アドレスプール、DNS とスプリットトンネルの設定、アカウントを名指ししたポリシーオブジェクトを見ます。次に、その資格情報がどこにあるかの記録を更新してください。次のローテーションはそのメモから始まるからです。ドキュメントから誰も再現できないローテーションは、一度しか乗り切れていません。