권한을 잃지 않고 로컬 VPN 계정을 교체하세요

작동하는 VPN 암호를 바꾸는 일은 두 줄짜리 변경처럼 보이지만, 재구축된 계정이 기본 권한으로 돌아오고 유일한 관리 세션이 사라지면 상황이 달라집니다. 안전한 절차는 자격 증명이 어디에 저장되고 어떤 프로토콜이 그것을 사용하는지에 달려 있지, 어떤 명령이 가장 짧은지에 달려 있지 않습니다. 기기를 만지기 전에 두 접근 방식을 비교하세요. 제자리 교체는 계정 객체를 보존합니다. 삭제 후 재생성은 그것을 대체하며, 그것을 가리키던 모든 것이 함께 사라집니다.

어떤 저장소가 실제로 세션을 인증하는지 찾으세요

사용자 데이터베이스가 아니라 터널이나 연결 프로필에서 시작하세요. 프로필은 인증 방법과 흔히 서버 그룹을 지정하며, 그 그룹이 RADIUS나 TACACS+를 가리킨다면 기기의 로컬 사용자 이름은 장식에 불과합니다. 무엇이든 계획하기 전에 프로필의 인증 목록과 그것이 참조하는 AAA 그룹을 읽으세요. 프로필이 로컬이라고 말할 때만 기기의 계정이 중요합니다. 이걸 틀리면 아무도 쓰지 않는 자격 증명을 교체하면서 실제 디렉터리 항목은 이전 그대로 남게 됩니다.

같은 기기는 보통 두 집단을 수용합니다. 기기에 로그인하는 관리자와 터널을 종료하는 VPN 사용자입니다. 이들이 같은 저장소를 공유할 수 있지만, 그렇다고 가정해서는 안 됩니다.

제자리 업데이트와 삭제 후 재생성

제자리 교체는 기존 객체의 속성 하나를 변경합니다. 권한 수준, 그룹 멤버십, 권한 부여 속성, 계정을 참조하는 모든 정책은 제거된 것이 없으므로 그대로 유지됩니다. 삭제 후 재생성은 명령줄에서 객체를 다시 만들기 때문에 반복하지 않은 필드는 모두 기본값으로 돌아옵니다. 사용자별 속성이 분할 터널이나 주소 풀 할당을 지니는 기기에서는 그 차이가 곧 전체 위험입니다.

재구축에는 정당한 용도가 하나 있습니다. 저장 형식 자체를 바꿔야 하는데 플랫폼이 변환을 제공하지 않을 때입니다. 그때도 먼저 기존 항목을 기록하세요. 실행 중인 구성만이 계정이 무엇을 지녔는지에 대한 유일하게 정확한 목록입니다. 변경 전에 떠 둔 그 구성의 사본은 기억으로 쓴 롤백 계획보다 낫습니다.

가지고 있는 해시가 필요한 비밀이 아닐 수 있는 이유

저장 형식은 답을 좌우하는 방식으로 다릅니다. 단방향 해시는 서버가 터널 안에서 평문으로 받을 때 암호를 검증할 수 있지만, 챌린지-응답 방식은 다이제스트를 계산하려면 공유 비밀 자체가 필요합니다. 그래서 모든 계정을 가장 강한 단방향 형식으로 바꾸면 바로 그에 의존하는 사용자에게 CHAP이나 MS-CHAP이 깨질 수 있습니다.

구호가 아니라 프로토콜로 결정하세요. 방식이 복구 가능한 비밀을 요구하는 곳에서 그 요구는 설계상의 제약이며, 정리해야 할 실수가 아닙니다.

자격 증명보다 오래 살아남는 세션

자격 증명을 바꿔도 이미 인증된 세션은 종료되지 않습니다. 터널이 설정된 피어는 키 갱신, 재인증 또는 명시적 연결 해제까지 계속 작동합니다.

그 부분은 따로 계획하고, 변경 전에 계획하세요. 자격 증명이 유출되었다면 활성 세션을 그대로 두는 것이 교체를 무력화합니다. 단지 만료된 것이라면 모든 피어를 오프라인으로 강제하는 것은 필요 없는 중단입니다. 작업하는 동안 두 번째 관리 경로를 열어 두세요. 가능하면 편집 중인 계정에 의존하지 않는 경로가 좋습니다. 여기의 실패 모드는 바로 필요할 때 접근을 빼앗기 때문입니다. 그런 다음 새 로그인과 그것이 도달할 수 있는 리소스를 확인하세요.

권한이 살아남았음을 증명하세요

교체된 사용자로 로그인하여 세션이 무엇을 허용하는지 확인하세요. 열렸는지만 보지 마세요. 계정이 지녀야 할 권한 부여를 요구하는 리소스에 도달하고, 도달해서는 안 되는 리소스도 시도하세요. 권한이 좁아지거나 넓어진 상태의 성공적인 로그인은 실패한 변경입니다.

실행 중인 구성의 권한 부여 속성을 시작할 때 떠 둔 사본과 비교하세요. 그룹 멤버십, 주소 풀, DNS 및 분할 터널 설정, 그리고 계정을 지목한 모든 정책 객체를 보세요. 그다음 그 자격 증명이 어디에 있는지 기록을 갱신하세요. 다음 교체가 그 메모에서 시작되기 때문입니다. 문서만으로는 아무도 반복할 수 없는 교체는 한 번만 버틴 것입니다.