მოატრიალეთ ლოკალური VPN ანგარიში მისი ნებართვების დაკარგვის გარეშე

მომუშავე VPN პაროლის შეცვლა ორხაზიან ცვლილებას ჰგავს, სანამ გადაკეთებული ანგარიში ნაგულისხმევი ნებართვებით არ დაბრუნდება და ერთადერთი მართვის სესია არ გაქრება. უსაფრთხო პროცედურა დამოკიდებულია იმაზე, სად ინახება ავთენტიფიკაციის მონაცემები და რომელი პროტოკოლი იყენებს მას, და არა იმაზე, რომელი ბრძანებაა ყველაზე მოკლე. შეადარეთ ორივე მიდგომა მოწყობილობაზე შეხებამდე. ადგილზე მოტრიალება ინარჩუნებს ანგარიშის ობიექტს; წაშლა და ხელახლა შექმნა ცვლის მას, და ყველაფერი, რაც მასზე მიუთითებდა, მასთან ერთად მიდის.

გაარკვიეთ, რომელი საცავი ამოწმებს სესიას სინამდვილეში

დაიწყეთ გვირაბის ან კავშირის პროფილიდან და არა მომხმარებლების მონაცემთა ბაზიდან. პროფილი ასახელებს ავთენტიფიკაციის მეთოდს და ხშირად სერვერის ჯგუფს, და თუ ეს ჯგუფი RADIUS-ზე ან TACACS+-ზე მიუთითებს, მოწყობილობაზე არსებული ლოკალური მომხმარებლის სახელი მხოლოდ დეკორაციაა. წაიკითხეთ პროფილის ავთენტიფიკაციის სია და AAA ჯგუფი, რომელზეც ის მიუთითებს, ყოველგვარი დაგეგმვის დაწყებამდე. მხოლოდ მაშინ, როცა პროფილი ამბობს ლოკალურს, აქვს მნიშვნელობა მოწყობილობის ანგარიშს. აქ შეცდომა და თქვენ მოატრიალებთ მონაცემებს, რომლებსაც არავინ იყენებს, მაშინ როცა კატალოგის ნამდვილი ჩანაწერი ზუსტად ისეთი რჩება, როგორიც იყო.

ერთი და იგივე მოწყობილობა ჩვეულებრივ ორ პოპულაციას ინახავს: ადმინისტრატორებს, რომლებიც მასში შედიან, და VPN მომხმარებლებს, რომლებიც გვირაბს ამთავრებენ. მათ შეუძლიათ საცავის გაზიარება და არ უნდა ვივარაუდოთ, რომ ასეა.

ადგილზე განახლება წაშლისა და ხელახლა შექმნის წინააღმდეგ

ადგილზე მოტრიალება ცვლის არსებული ობიექტის ერთ ატრიბუტს. პრივილეგიის დონე, ჯგუფის წევრობა, ავტორიზაციის ატრიბუტები და ნებისმიერი პოლიტიკა, რომელიც ანგარიშზე მიუთითებს, გადარჩება, რადგან არაფერი წაშლილა. წაშლა და ხელახლა შექმნა ობიექტს ბრძანების სტრიქონიდან თავიდან აშენებს, ამიტომ ყოველი ველი, რომელიც არ გაიმეორეთ, თავის ნაგულისხმევ მნიშვნელობას უბრუნდება. იმ მოწყობილობაზე, სადაც თითო მომხმარებლის ატრიბუტები გაყოფილი გვირაბის ან მისამართების აუზის დავალებებს ატარებს, ეს განსხვავება მთელი რისკია.

გადაკეთებას აქვს ერთი ლეგიტიმური გამოყენება: როცა თავად შენახული ფორმატი უნდა შეიცვალოს და პლატფორმა კონვერტაციას არ გვთავაზობს. მაშინაც კი, ჯერ არსებული ჩანაწერი დააფიქსირეთ, რადგან მოქმედი კონფიგურაცია ერთადერთი ზუსტი ინვენტარია იმისა, რასაც ანგარიში ატარებდა. ამ კონფიგურაციის ცვლილებამდე აღებული ასლი სჯობს მეხსიერებიდან დაწერილ უკან დაბრუნების გეგმას.

რატომ შეიძლება თქვენი ჰეში არ იყოს ის საიდუმლო, რაც მას სჭირდება

შენახვის ფორმატები ისე განსხვავდება, რომ ეს პასუხს წყვეტს. ცალმხრივ ჰეშს შეუძლია პაროლის დადასტურება, როცა სერვერი მას გვირაბის შიგნით ღიად იღებს, მაგრამ გამოწვევა-პასუხის მეთოდს თვითონ გაზიარებული საიდუმლო სჭირდება დაიჯესტის გამოსათვლელად. ამიტომ ყოველი ანგარიშის ყველაზე ძლიერ ცალმხრივ ფორმატზე გადაყვანამ შეიძლება გატეხოს CHAP ან MS-CHAP ზუსტად იმ მომხმარებლებისთვის, რომლებიც მასზე არიან დამოკიდებულნი.

გადაწყვიტეთ პროტოკოლით და არა ლოზუნგით. სადაც მეთოდს აღდგენადი საიდუმლო სჭირდება, ეს მოთხოვნა დიზაინის შეზღუდვაა და არა გასასუფთავებელი უყურადღებობა.

სესიები, რომლებიც მონაცემებზე დიდხანს ცოცხლობენ

მონაცემების შეცვლა არ ამთავრებს უკვე ავთენტიფიცირებულ სესიებს. დამყარებული გვირაბის მქონე პარტნიორი აგრძელებს მუშაობას გასაღების განახლებამდე, ხელახალი ავთენტიფიკაციამდე ან მკაფიო გათიშვამდე.

დაგეგმეთ ეს ნაწილი ცალკე და დაგეგმეთ ცვლილებამდე. თუ მონაცემები გაჟონა, ცოცხალი სესიების გაშვებულად დატოვება მოტრიალებას აუქმებს. თუ ის უბრალოდ მოძველდა, ყოველი პარტნიორის იძულებით ოფლაინში გადაყვანა ზედმეტი შეწყვეტაა. მუშაობისას ღიად შეინახეთ მართვის მეორე გზა, სასურველია ის, რომელიც რედაქტირებულ ანგარიშზე არ არის დამოკიდებული, რადგან აქ მარცხის რეჟიმი თქვენს წვდომას სწორედ მაშინ ართმევს, როცა გჭირდებათ. შემდეგ შეამოწმეთ ახალი შესვლა და რესურსები, რომლებზეც მას შეუძლია მისვლა.

დაამტკიცეთ, რომ ნებართვები გადარჩა

შედით მოტრიალებული მომხმარებლის სახელით და შეამოწმეთ, რას იძლევა სესია და არა მხოლოდ ის, რომ გაიხსნა. მიაღწიეთ რესურსს, რომელიც მოითხოვს ავტორიზაციას, რომელიც ანგარიშს უნდა ჰქონდეს, და სცადეთ ერთი, სადაც არ უნდა მივიდეს. წარმატებული შესვლა შევიწროებული ან გაფართოებული წვდომით ჩავარდნილი ცვლილებაა.

შეადარეთ მოქმედი კონფიგურაციის ავტორიზაციის ატრიბუტები დასაწყისში აღებულ ასლს. შეხედეთ ჯგუფის წევრობას, მისამართების აუზს, DNS-ის და გაყოფილი გვირაბის პარამეტრებს და ნებისმიერ პოლიტიკის ობიექტს, რომელმაც ანგარიში დაასახელა. შემდეგ განაახლეთ ჩანაწერი იმის შესახებ, სად ცხოვრობს ეს მონაცემები, რადგან შემდეგი მოტრიალება ამ ჩანაწერიდან იწყება. მოტრიალება, რომლის გამეორებაც ვერავინ შეძლო დოკუმენტაციიდან, მხოლოდ ერთხელ გადაიტანეს.