소규모 팀을 위한 개별 VPN ID, 디렉터리 없이

여섯 명이 하나의 VPN 로그인을 공유하는데 한 명이 퇴사하면, 그 사람의 접근을 제거하는 유일한 방법은 나머지 모두가 쓰는 비밀을 바꾸는 것입니다. 이것이 실제 문제이고, 해결에 Active Directory가 필요하지는 않습니다. 작은 사무실도 게이트웨이가 지원하는 로컬 저장소에 개별 ID를 두고 퇴사를 일상적인 일로 처리할 수 있습니다. 일은 저장소를 고르고, 필요해지기 전에 제거 절차를 적어 두는 데 있습니다.

각자가 가진 자격 증명부터 시작하십시오

백엔드를 고르기 전에 각자가 무엇으로 접속하는지 적어 두십시오. 노트북 한 대, 휴대폰, 어쩌면 집의 데스크톱, 그리고 그 하나하나가 별도의 자격 증명이거나 별도의 장치 인증서입니다. 어떤 사람이 가진 자격 증명을 이름 붙일 수 없다면, 나중에 그것을 제거할 수 없습니다.

한 프로필을 공유하는 두 사람이 다음의 모든 단계를 어렵게 만드는 사례입니다. 그것을 먼저 고치십시오. 공유된 비밀은 어떤 디렉터리로도 해결되지 않습니다.

게이트웨이가 실제로 지원하는 저장소를 고르십시오

운영하고 싶은 저장소가 아니라 게이트웨이가 이미 지원하는 ID 저장소를 고르십시오. 로컬 사용자 데이터베이스가 있는 게이트웨이는 사용자별 정책과 함께 개별 계정을 둘 수 있습니다. IKEv2 배포는 클라이언트 방식과 검증자가 맞으면 EAP ID를 특정 비밀에 매핑할 수 있습니다. 인증서 기반 구성은 공통 기관에서 장치마다 인증서 하나를 발급할 수 있어, 자격 증명은 분리된 채 신뢰 앵커를 공유합니다.

저장소의 위치보다 운영이 더 중요합니다. 등록, 백업, 갱신, 폐기. 이 중 어디에도 답이 없다면 선택은 끝나지 않은 것입니다.

게이트웨이가 로컬 계정과 인증서를 모두 제공한다면, 새벽 두 시에 공급업체에 전화하지 않고 팀이 운영할 수 있는 쪽을 고르십시오. 그 선호는 복구 시간에 관한 것이지 어느 쪽이 기술적으로 더 강한지에 관한 것이 아닙니다.

사람과 장치를 분리하십시오

자격 증명이 무엇을 나타내는지, 즉 사람인지 장치인지 아니면 둘 다인지 정하십시오. 한 직원이 가진 노트북과 휴대폰은 두 장치이자 한 사람이며, 휴대폰을 잃는다고 해서 노트북을 반드시 비활성화할 필요는 없습니다. 제거의 의미를 그것이 결정하므로 그 모델을 적어 두십시오.

자격 증명마다 소유자, 장치, 발급일, 폐기 경로를 기록하십시오. 그 기록은 설정한 사람 없이도 사무실이 읽을 수 있는 곳에 두십시오. 그 네 열의 표는 여섯 명에게 충분하고 예순 명까지 그대로 확장됩니다.

제거를 일상적인 작업으로 만드십시오

첫 퇴사가 일어나기 전에 퇴사 절차를 적으십시오. ID를 비활성화하고, 활성 세션을 종료하고, 재인증 타이머를 기다리는 대신 터널이 실제로 끊기는지 확인하십시오. 그다음 사무실 네트워크 밖의 장치에서 이전 자격 증명이 실패하는지 확인하십시오. 전체 순서는 몇 분이면 끝나야 하고 다른 누구에게도 재발급을 요구하지 않아야 합니다.

sudo swanctl --terminate --ike alice-laptop

비활성화된 계정에 의존하지 않는 관리자 복구 경로를 두고, 나중에 디렉터리로 옮겨 갈 로컬 계정을 맞춰 두십시오. 목표는 단순합니다. 한 사람을 제거하는 일은 일상 업무이고, 다른 모두의 프로필을 건드리는 프로젝트가 아닙니다. Access Server의 로컬 인증은 이 형태에 맞는 저장소의 문서화된 한 가지 예입니다.