E lokale VPN-Kont rotéieren, ouni seng Berechtegungen ze verléieren

E funktionéierende VPN-Passwuert z'ersetzen gesäit aus wéi eng Ännerung vun zwou Zeilen, bis de rekonstruéierte Kont mat Standardberechtegungen zréckkënnt an déi eenzeg Administratiounssessioun fort ass. Déi sécher Prozedur hänkt dovun of, wou d'Authentifikatiounsdaten gespäichert sinn a wéi en Protokoll se benotzt, net dovun, wéi en Kommando am kierzte ass. Vergläicht déi zwou Approchen, ier dir den Apparat beréiert. D'Rotatioun um Platz behält d'Kontoobjekt; Läschen an Neiastellen ersetzt et, an alles, wat drop hiweist, geet mat him fort.

Fannt eraus, wéi en Depot d'Sessioun tatsächlech authentifizéiert

Fänkt beim Tunnel- oder Verbindungsprofil un, net bei der Benotzerdatebank. D'Profil nennt eng Authentifikatiounsmethod an dacks eng Servergrupp, a wann déi Grupp op RADIUS oder TACACS+ weist, ass den lokalen Benotzernumm um Apparat just Dekoratioun. Liest d'Authentifikatiounslëscht vum Profil an d'AAA-Grupp, op déi et verweist, ier dir eppes plangt. Nëmmen wann d'Profil lokal seet, ass de Kont um Apparat wichteg. Maacht dëst falsch an dir rotéiert en Authentifikatiounsdat, deen keen benotzt, während den eigentlechen Verzeechnisagang genee esou bleift wéi en war.

Dee selwechten Apparat ëmfaasst normalerweis zwou Populatiounen: Administratoren déi sech aloggen, a VPN-Benotzer déi en Tunnel ofschléissen. Si kënnen en Depot deelen, an et sollt net ugeholl ginn, datt se et maachen.

Aktualiséierung um Platz géint Läschen an Neiastellen

D'Rotatioun um Platz ännert een Attribut vun engem existéierende Objekt. Privilegiestuf, Gruppememberschaft, Autorisatiounsattributer an jidderengwéi Politik, déi op de Kont verweist, iwwerliewe, well näischt ewechgeholl gouf. Läschen an Neiastellen bauen den Objekt aus enger Kommandozeil nei op, sou datt all Feld, dat dir net widderhollt hutt, op säi Standardwert zréckkënnt. Op engem Apparat, wou d'Attributer pro Benotzer Split-Tunnel- oder Adresspoolzouuerdnungen droen, ass deen Ënnerscheed de ganzen Risiko.

Den Neiopbau huet ee legitime Gebrauch: wann de gespäicherte Format selwer muss geännert ginn an d'Plattform keng Konversioun ubitt. Och dann erfaasst dir fir d'éischt den existéierende Bäitrag, well déi lafend Konfiguratioun ass deen eenzeg genee Inventar dovun, wat de Kont gedroen huet. Eng Kopie vun där Konfiguratioun, déi virun der Ännerung geholl gouf, ass besser wéi en Zréckrollplang, deen aus dem Gediechtnis geschriwwe gouf.

Firwat den Hash, deen dir hutt, vläicht net dat Geheimnis ass, dat en brauch

Späicherformater ënnerscheede sech op eng Manéier, déi d'Äntwert entscheet. En Eenwee-Hash kann e Passwuert verifizéieren, wann de Server et am Kloertext bannen am Tunnel kritt, awer eng Challenge-Response-Method brauch dat gedeelt Geheimnis selwer, fir den Digest ze berechnen. Dofir kann d'Konvertéiere vun all Kont an dee stäerksten Eenwee-Format CHAP oder MS-CHAP genee dee Benotzer briechen, déi dovun ofhänken.

Entscheet nom Protokoll, net nom Slogan. Wou d'Method e recuperierbar Geheimnis brauch, ass déi Fuerderung eng Aschränkung vum Design an net e Verseien, dat misst opgeraumt ginn.

Sessiounen, déi d'Authentifikatiounsdaten iwwerliewe

D'Ännere vun engem Authentifikatiounsdat beendet keng Sessiounen, déi sech schonn authentifizéiert hunn. En Peer mat engem etabléierten Tunnel schafft weider bis zur Schlësselerneierung, der Reauthentifikatioun oder enger expliziter Trennung.

Plangt deen Deel separat, a plangt en virun der Ännerung. Wann den Authentifikatiounsdat ausgelaf ass, verhënnert d'Weiderlafe vu liewege Sessiounen d'Rotatioun. Wann en just ofgelaf ass, ass et eng Ënnerbriechung, déi dir net gebraucht hutt, all Peer offline ze zwéngen. Hält en zweete Verwaltungswee op, während dir schafft, am beschten ee wien net vum Kont ofhängt, deen editéiert gëtt, well de Fehlermodus hei Ären Zougang genee da wech hëlt, wann dir en braucht. Verifizéiert duerno eng nei Alog an d'Ressourcen, déi se erreeche kann.

Beweist, datt d'Berechtegungen iwwerlieft hunn

Loggt Iech als de rotéierte Benotzer an a kontrolléiert, wat d'Sessioun gëtt, net just datt se opgaang ass. Erreecht eng Ressource, déi d'Autorisatioun erfuerdert, déi de Kont soll droen, a probéiert eng, déi en net soll erreechen. Eng erfollegräich Alog mat enger verschmälerter oder erweiderter Zougangsberechtegung ass eng gescheitert Ännerung.

Vergläicht d'Autorisatiounsattributer an der lafender Konfiguratioun mat der Kopie, déi dir am Ufank geholl hutt. Kuckt d'Gruppememberschaft, den Adresspool, d'DNS- an d'Split-Tunnel-Astellungen an all Politikobjekt, dat de Kont genannt huet. Aktualiséiert duerno den Notiz, wou dësen Authentifikatiounsdat lieft, well déi nächst Rotatioun vun där Notiz ufänkt. Eng Rotatioun, déi keen aus der Dokumentatioun widderhuele kann, gouf nëmmen eng Kéier iwwerlieft.