ინდივიდუალური VPN იდენტობები პატარა გუნდისთვის, დირექტორიის გარეშე

ექვსი ადამიანი ერთ VPN შესვლას იზიარებს, ერთი მათგანი მიდის, და მისი წვდომის ამოღების ერთადერთი გზა იმ საიდუმლოს შეცვლაა, რომელსაც დანარჩენები იყენებენ. ეს არის ნამდვილი პრობლემა და მის გადასაჭრელად Active Directory არ არის საჭირო. პატარა ოფისს შეუძლია ცალკე იდენტობები შეინახოს იმ ლოკალურ საცავში, რომელსაც მისი კარიბჭე მხარს უჭერს, და მაინც განიხილოს წასვლები რუტინად. სამუშაო საცავის არჩევასა და ამოღების ნაბიჯების წინასწარ ჩაწერაშია.

დაიწყეთ იმ სამოწმებლით, რომელიც ყველას აქვს

სანამ ბექენდს აირჩევთ, ჩამოთვალეთ, რით უკავშირდება თითოეული. ერთი ლეპტოპი, ტელეფონი, შესაძლოა სახლის დესკტოპი, და თითოეული მათგანი ცალკე სამოწმებელია ან ცალკე მოწყობილობის სერტიფიკატი. თუ ვერ დაასახელებთ იმ სამოწმებელს, რომელიც ადამიანს აქვს, ვერ შეძლებთ მის ამოღებას მოგვიანებით.

ორი ადამიანი, რომლებიც ერთ პროფილს იზიარებენ, ის შემთხვევაა, რომელიც ყოველ შემდეგ ნაბიჯს ართულებს. ჯერ ეს გაასწორეთ, რადგან არც ერთი დირექტორია არ წყვეტს გაზიარებულ საიდუმლოს.

აირჩიეთ საცავი, რომელსაც კარიბჭე ნამდვილად უჭერს მხარს

აირჩიეთ იდენტობის საცავი, რომელსაც კარიბჭე უკვე უჭერს მხარს, და არა ის, რომლის გაშვებაც გსურთ. ლოკალური მომხმარებლის ბაზის მქონე კარიბჭეს შეუძლია ცალკეული ანგარიშები შეინახოს მომხმარებლის პოლიტიკით. IKEv2-ის განლაგებას შეუძლია EAP იდენტობა კონკრეტულ საიდუმლოს დაუკავშიროს, თუ კლიენტის მეთოდი და გადამოწმებელი ერთმანეთს ემთხვევა. სერტიფიკატზე დაფუძნებულ კონფიგურაციებს შეუძლიათ საერთო ორგანოსგან თითო სერტიფიკატი გასცენ თითოეულ მოწყობილობას, რაც ნდობის საყრდენს საერთოს ტოვებს, სანამ სამოწმებლები ცალკე რჩება.

საცავის ადგილს ნაკლები მნიშვნელობა აქვს, ვიდრე მის ოპერაციებს: რეგისტრაცია, სარეზერვო ასლი, განახლება და გაუქმება. თუ რომელიმე მათგანს პასუხი არ აქვს, არჩევანი დასრულებული არ არის.

თუ კარიბჭე გთავაზობთ როგორც ლოკალურ ანგარიშებს, ისე სერტიფიკატებს, აირჩიეთ ის, რომლის მართვასაც თქვენი გუნდი ღამის ორ საათზე მიმწოდებლის ტელეფონზე ყოფნის გარეშე შეძლებს. ეს უპირატესობა აღდგენის დროზეა, და არა იმაზე, თუ რომელი ვარიანტია ტექნიკურად უფრო ძლიერი.

გამოყავით ადამიანი მოწყობილობებისგან

გადაწყვიტეთ, რას წარმოადგენს სამოწმებელი: ადამიანს, მოწყობილობას თუ ორივეს. ერთი თანამშრომლის ლეპტოპი და ტელეფონი ორი მოწყობილობა და ერთი ადამიანია, და ტელეფონის დაკარგვამ არ უნდა გამორთოს ლეპტოპი აუცილებლად. ჩაწერეთ ეს მოდელი, რადგან ის განსაზღვრავს, რას ნიშნავს ამოღება.

თითოეული სამოწმებლისთვის ჩაწერეთ მფლობელი, მოწყობილობა, გაცემის თარიღი და გაუქმების გზა. შეინახეთ ეს ჩანაწერი იქ, სადაც ოფისს შეუძლია წაიკითხოს ის იმ ადამიანის გარეშე, ვინც ის დააყენა. ცხრილი ამ ოთხი სვეტით საკმარისია ექვსი ადამიანისთვის და მაინც ფართოვდება სამოცამდე.

ამოღება ჩვეულებრივ ოპერაციად აქციეთ

ჩაწერეთ წასვლის პროცედურა პირველ წასვლამდე. გამორთეთ იდენტობა, შეწყვიტეთ ნებისმიერი აქტიური სესია და დაადასტურეთ, რომ გვირაბი მართლაც ვარდება, და არ დაელოდეთ ხელახალი ავთენტიფიკაციის ტაიმერს. შემდეგ შეამოწმეთ, რომ ყოფილი სამოწმებელი ვერ მუშაობს ოფისის ქსელის გარეთ მდებარე მანქანიდან. მთელ თანმიმდევრობას წუთები უნდა დასჭირდეს და არავისთვის მოითხოვოს ხელახალი გაცემა.

sudo swanctl --terminate --ike alice-laptop

შეინარჩუნეთ ადმინისტრატორის აღდგენის გზა, რომელიც არ არის დამოკიდებული გამორთულ ანგარიშზე, და შეათანხმეთ ლოკალური ანგარიშები, რომლებიც მოგვიანებით დირექტორიაში გადავლენ. მიზანი მარტივია: ერთი ადამიანის ამოღება რუტინული საქმეა, და არა პროექტი, რომელიც ყველა დანარჩენის პროფილს ეხება. Access Server-ის ლოკალური ავთენტიფიკაცია ამ ფორმას შესაბამისი საცავის ერთი დოკუმენტირებული მაგალითია.