Individuell VPN-Identitéiten fir e klengt Team, ouni Verzeechnis

Sechs Leit deelen eng VPN-Anmeldung, eng vun hinnen geet, an déi eenzeg Manéier, hirem Zougang ze entfernen, ass de Geheimnis ze änneren, deen all déi aner benotzen. Dat ass déi richteg Fro, a si brauch keen Active Directory, fir se ze léisen. E klengt Büro kann eenzel Identitéiten an deem lokalen Späicher halen, deen säi Gateway ënnerstëtzt, an trotzdeem Austrëtter als Routine behandelen. D’Aarbecht läit an der Wiel vum Späicher an am Opschreiwen vun den Entfernungs-Schrëtt, ier dir se brauchs.

Fänkt mat de Zougangsdaten un, déi all Persoun huet

Lëscht op, mat wéi engem all Persoun sech verbënnt, ier dir en Backend wielt. E Laptop, eng Telefon, vläicht en Desktop doheem, an all eenzel dovun ass eenzeln Zougangsdaten oder eenzelt Gerätezertifikat. Wann dir d’Zougangsdaten net kënnt nennen, déi eng Persoun huet, kënnt dir se spéider net entfernen.

Zwee Leit, déi ee Profil deelen, ass de Fall, deen all anere Schrëtt méi schwéier mécht. Maacht dat éischt richteg, well keen Verzeechnis léist e gedeelte Geheimnis.

Wielt de Späicher, deen de Gateway wierklech ënnerstëtzt

Wielt d’Identitéits-Späicher, deen de Gateway schonn ënnerstëtzt, amplaz deen, deen dir gär bedreiwe wéilt. E Gateway mat enger lokaler Benotzerdatebank kann eenzel Konten mat Politik pro Benotzer halen. Eng IKEv2-Asetzung kann eng EAP-Identitéit engem bestëmmte Geheimnis zouordnen, wann d’Client-Method an de Verifizéierer iwwereneen kommen. Zertifikatsbaséiert Konfiguratiounen kënnen een Zertifikat pro Gerät vun enger gemeinsamer Autoritéit ausstellen, wat de Vertrauensanker gedeelt hält, während d’Zougangsdaten eenzel bleiwen.

D’Plaz vum Späicher ass manner wichteg wéi seng Operatiounen: Umeldung, Backup, Erneierung an Zeréckzuch. Wann eng dovun keng Äntwert huet, ass d’Wiel net fäerdeg.

Wann de Gateway souwuel lokal Konten wéi och Zertifikater ubitt, da bevirzugt deen, den Äert Team um zwee Auer nuets ouni de Fournisseur um Telefon bedreiwe kann. Dës Preferenz geet ëm d’Erhohlungszäit, net ëm déi Fro, wéi eng Optioun technesch méi staark ass.

Trennt d’Persoun vun den Apparater

Entscheet, wat Zougangsdaten duerstellen: eng Persoun, en Apparat, oder allebéid. E Laptop an eng Telefon vun engem Mataarbechter sinn zwee Apparater an eng Persoun, an de Verloscht vun der Telefon soll net onbedéngt de Laptop desaktivéieren. Schreift dëse Modell op, well en entscheet, wat Entfernen heescht.

Halt de Besëtzer, den Apparat, den Ausstellungsdatum an den Zeréckzuchs-Wee fir all Zougangsdaten fest. Halt dee Rekord do, wou d’Büro en ouni d’Persoun, déi en agesat huet, liese kann. En Dësch mat deene véier Kolonnen ass genuch fir sechs Leit a skaalt nach bis sechzeg.

Maacht d’Entfernen zu enger gewéinlecher Operatioun

Schreift d’Austrëttsprozedur, ier den éischten Austrëtt geschitt. Desaktivéiert d’Identitéit, beendet all aktiv Sessioun, a bestätegt, datt den Tunnel wierklech fält, amplaz op en Timer fir Nei-Authentifikatioun ze waarden. Iwwerpréift duerno, datt déi fréier Zougangsdaten vun enger Maschinn ausserhalb vum Büro-Netzwierk feelen. Déi ganz Sequenz soll Minutten daueren an keen Nei-Ausstellen fir een aneren erfuerderen.

sudo swanctl --terminate --ike alice-laptop

Halt en Administrateur-Erhohlungswee, deen net vum desaktivéierte Kont ofhänkt, an harmoniséiert lokal Konten, déi spéider an e Verzeechnis wiesselen. D’Zil ass einfach: eng Persoun entfernen ass eng Routine-Aufgab, keen Projet, deen d’Profil vun allen aneren beréiert. D’lokal Authentifikatioun vum Access Server ass ee dokumentéiert Beispill vun engem Späicher, deen zu dëser Form passt.