Шағын топ үшін жеке VPN сәйкестіктері, каталогсыз

Алты адам бір VPN кіруін бөліседі, олардың бірі кетеді, және оның қатынасын жоюдың жалғыз жолы — қалғандардың бәрі пайдаланатын құпияны өзгерту. Бұл нақты мәселе, және оны шешу үшін Active Directory қажет емес. Шағын кеңсе өз шлюзі қолдайтын кез келген жергілікті қоймада бөлек сәйкестіктерді ұстай алады және кетулерді кәдімгі жағдай деп санай алады. Жұмыс қойманы таңдауда және жою қадамдарын олар қажет болмай тұрып жазып қоюда.

Әр адамда бар тіркелгі деректерінен бастаңыз

Бэкенд таңдамас бұрын әр адамның немен қосылатынын тізіп шығыңыз. Бір ноутбук, телефон, мүмкін үйдегі үстел компьютері, және олардың әрқайсысы бөлек тіркелгі деректері немесе бөлек құрылғы сертификаты. Егер адамда бар тіркелгі деректерін атай алмасаңыз, оны кейін жоя алмайсыз.

Бір профильді бөлісетін екі адам — келесі қадамдардың бәрін қиындататын жағдай. Оны бірінші кезекте түзетіңіз, өйткені ешбір каталог ортақ құпияны шешпейді.

Шлюз шынымен қолдайтын қойманы таңдаңыз

Шлюз қазірдің өзінде қолдайтын сәйкестік қоймасын таңдаңыз, өзіңіз жүргізгіңіз келетінін емес. Жергілікті пайдаланушылар дерекқоры бар шлюз әр пайдаланушыға арналған саясатпен жеке тіркелгілерді ұстай алады. IKEv2 орналастыруы EAP сәйкестігін нақты құпияға байланыстыра алады, клиент әдісі мен тексеруші сәйкес келсе. Сертификатқа негізделген шешімдер ортақ органнан әр құрылғыға бір сертификат бере алады, бұл сенім тірегін ортақ ұстап, тіркелгі деректерін бөлек сақтайды.

Қойманың орны оның операцияларынан маңызды емес: тіркеу, сақтық көшірме, жаңарту және кері қайтарып алу. Егер олардың біреуіне жауап болмаса, таңдау аяқталған жоқ.

Егер шлюз жергілікті тіркелгілерді де, сертификаттарды да ұсынса, командаңыз түнде сағат екіде жеткізушіні телефонда ұстамай-ақ басқара алатынын таңдаңыз. Бұл басымдық қалпына келтіру уақыты туралы, қай нұсқа техникалық тұрғыдан күштірек екені туралы емес.

Адамды құрылғылардан бөліңіз

Тіркелгі деректері нені білдіретінін шешіңіз: адамды, құрылғыны немесе екеуін де. Бір қызметкерге тиесілі ноутбук пен телефон — екі құрылғы және бір адам, ал телефонды жоғалту ноутбукты міндетті түрде өшіруге тиіс емес. Осы үлгіні жазып қойыңыз, өйткені жоюдың мағынасын сол анықтайды.

Әр тіркелгі деректері үшін иесін, құрылғыны, берілген күнін және кері қайтарып алу жолын жазыңыз. Бұл жазбаны кеңсе оны баптаған адамсыз-ақ оқи алатын жерде ұстаңыз. Осы төрт бағаны бар кесте алты адамға жетеді және әлі де алпысқа дейін кеңейеді.

Жоюды кәдімгі операцияға айналдырыңыз

Алғашқы кетуге дейін кету рәсімін жазыңыз. Сәйкестікті өшіріңіз, кез келген белсенді сессияны тоқтатыңыз және қайта аутентификация таймерін күтудің орнына туннельдің шынымен үзілетінін растаңыз. Содан кейін бұрынғы тіркелгі деректерінің кеңсе желісінен тыс машинадан сәтсіз аяқталатынын тексеріңіз. Бүкіл реттілік бірнеше минут алуы керек және басқа ешкімге қайта беруді талап етпеуі керек.

sudo swanctl --terminate --ike alice-laptop

Өшірілген тіркелгіге тәуелді емес әкімшілік қалпына келтіру жолын ұстаңыз және кейін каталогқа көшетін жергілікті тіркелгілерді сәйкестендіріңіз. Мақсат қарапайым: бір адамды жою — кәдімгі жұмыс, қалғандардың бәрінің профилін қозғайтын жоба емес. Access Server-дегі жергілікті аутентификация осы пішінге сай келетін қойманың бір құжатталған мысалы.