Кичинекей топ үчүн өзүнчө VPN идентификаторлору, каталогсуз

Алты адам бир VPN кирүүсүн бөлүшөт, алардын бири кетет, жана анын кирүү мүмкүнчүлүгүн өчүрүүнүн жалгыз жолу — калгандардын баары колдонгон сырды өзгөртүү. Бул чыныгы маселе жана аны чечүү үчүн Active Directory керек эмес. Кичинекей кеңсе өз шлюзу колдогон каалаган жергиликтүү кампада өзүнчө идентификаторлорду сактай алат жана кетүүлөрдү кадимки нерсе катары кабыл ала алат. Иш кампаны тандоодо жана өчүрүү кадамдарын алар керек боло электе жазып коюуда.

Ар бир адамдагы эсептик берилиштерден баштаңыз

Бэкенд тандаардан мурун ар бир адам эмне менен туташканын тизмелеңиз. Бир ноутбук, телефон, балким үйдөгү стол үстүндөгү компьютер, жана алардын ар бири өзүнчө эсептик берилиш же өзүнчө түзмөк сертификаты. Эгер адамдагы эсептик берилишти атай албасаңыз, кийин аны өчүрө албайсыз.

Бир профилди бөлүшкөн эки адам — кийинки ар бир кадамды кыйындаткан учур. Муну биринчи кезекте оңдогула, анткени эч бир каталог жалпы сырды чечпейт.

Шлюз чындап колдогон кампаны тандаңыз

Шлюз мурун эле колдогон идентификатор кампасын тандаңыз, өзүңүз жүргүзгүңүз келгенин эмес. Жергиликтүү колдонуучулар базасы бар шлюз ар бир колдонуучуга саясат менен жеке эсептерди сактай алат. IKEv2 жайгаштыруу EAP идентификаторун белгилүү бир сырга байланыштыра алат, эгер клиент ыкмасы менен текшерүүчү дал келсе. Сертификатка негизделген чечимдер жалпы органдан ар бир түзмөккө бир сертификат бере алат, бул ишеним тирегин жалпы кармап, эсептик берилиштерди өзүнчө сактайт.

Кампанын жайгашкан жери анын операцияларынан маанилүү эмес: каттоо, камдык көчүрмө, жаңыртуу жана жокко чыгаруу. Эгер алардын бирине жооп болбосо, тандоо бүтө элек.

Эгер шлюз жергиликтүү эсептерди да, сертификаттарды да сунуштаса, командаңыз түнкү саат экиде жеткирүүчүнү телефонго алып туруп эле башкара алганды тандаңыз. Бул артыкчылык калыбына келтирүү убактысы жөнүндө, кайсы вариант техникалык жактан күчтүү экени жөнүндө эмес.

Адамды түзмөктөрдөн бөлүңүз

Эсептик берилиштер эмнени билдирерин чечиңиз: адамды, түзмөктү же экөөнү тең. Бир кызматкерге таандык ноутбук менен телефон — эки түзмөк жана бир адам, ал эми телефонду жоготуу ноутбукту сөзсүз өчүрүүгө тийиш эмес. Бул моделди жазып коюңуз, анткени өчүрүүнүн маанисин ошол аныктайт.

Ар бир эсептик берилиш үчүн ээсин, түзмөктү, берилген күнүн жана жокко чыгаруу жолун жазыңыз. Бул жазууну кеңсе аны жөндөгөн адамсыз окуй алган жерде сактаңыз. Ошол төрт мамычалуу таблица алты адамга жетет жана алтымышка чейин кеңейе берет.

Өчүрүүнү кадимки операцияга айландырыңыз

Биринчи кетүүгө чейин кетүү процедурасын жазыңыз. Идентификаторду өчүрүңүз, ар кандай активдүү сессияны токтотуңуз жана кайра аутентификация таймерин күтүүнүн ордуна туннелдин чындап үзүлгөнүн ырастаңыз. Андан кийин мурунку эсептик берилиштердин кеңсе тармагынан тышкары машинеден ишке ашпай калганын текшериңиз. Бүт ырааттуулук бир нече мүнөткө созулуп, башка эч кимге кайра берүүнү талап кылбашы керек.

sudo swanctl --terminate --ike alice-laptop

Өчүрүлгөн эсепке көз каранды эмес администратордук калыбына келтирүү жолун сактаңыз жана кийин каталогго өтө турган жергиликтүү эсептерди шайкештендириңиз. Максат жөнөкөй: бир адамды өчүрүү — кадимки иш, калгандардын баарынын профилин козгогон долбоор эмес. Access Server'дин жергиликтүү аутентификациясы ушул формага ылайык келген кампанын бир документтелген мисалы.