小さなチームのための個別VPN ID、ディレクトリなしで

六人が一つのVPNログインを共有していると、一人が辞めたとき、そのアクセスを外す唯一の方法は全員が使っている秘密を変えることです。これが本当の問題であり、解決にActive Directoryは要りません。小さなオフィスでも、ゲートウェイが対応するローカル保存先に個別のIDを置き、退職を日常の手続きとして扱えます。作業の中心は保存先の選択と、必要になる前に削除手順を書き留めておくことです。

まず、各人が持つ認証情報から

バックエンドを選ぶ前に、各人が何で接続しているかを書き出します。ノートPC一台、スマートフォン一台、場合によっては自宅のデスクトップ、そのどれもが別々の認証情報か別々のデバイス証明書です。ある人が持つ認証情報を名指しできなければ、後からそれを削除することはできません。

二人で一つのプロファイルを共有しているのが、その後のすべての手順を難しくするケースであり、まずそこを直してください。共有された秘密は、どのディレクトリでも解決できません。

ゲートウェイが実際に対応する保存先を選ぶ

運用したい保存先ではなく、ゲートウェイがすでに対応しているID保存先を選びます。ローカルなユーザーデータベースを持つゲートウェイなら、ユーザーごとのポリシー付きで個別アカウントを保持できます。IKEv2の導入では、クライアント方式と検証側が一致していれば、EAP IDを特定の秘密に対応付けられます。証明書ベースの構成では、共通の認証局からデバイスごとに一枚の証明書を発行でき、信頼の基点を共有したまま認証情報を分離できます。

保存先の場所よりも、その運用、つまり登録、バックアップ、更新、失効が重要です。どれかに答えがなければ、選択は終わっていません。

ゲートウェイがローカルアカウントと証明書の両方を提供するなら、深夜二時にベンダーへ電話せずにチームが運用できる方を選びます。これは復旧時間の話であり、どちらが技術的に強いかの話ではありません。

人とデバイスを分ける

認証情報が何を表すか、つまり人か、デバイスか、その両方かを決めます。一人の社員が持つノートPCとスマートフォンは二台のデバイスと一人の人であり、スマートフォンを失ってもノートPCを必ずしも無効にする必要はありません。削除の意味を決めるのはこれだから、このモデルを書き留めてください。

認証情報ごとに、所有者、デバイス、発行日、失効の経路を記録します。その記録は、設定した本人がいなくてもオフィスが読める場所に置きます。この四列の表は六人には十分で、六十人までそのまま拡張できます。

削除を日常の操作にする

最初の退職が起きる前に退職手順を書きます。IDを無効化し、有効なセッションを終了させ、再認証タイマーを待つのではなくトンネルが実際に切れることを確認します。次に、オフィスのネットワーク外の端末から以前の認証情報が失敗することを確かめます。この一連の作業は数分で終わり、他の誰にも再発行を求めないはずです。

sudo swanctl --terminate --ike alice-laptop

無効化したアカウントに依存しない管理者の復旧経路を用意し、後でディレクトリへ移るローカルアカウントを突き合わせます。目標は単純です。一人を外すのは日常の作業であり、他の全員のプロファイルに触れるプロジェクトではありません。Access Serverのローカル認証は、この形に合う保存先の文書化された一例です。