Pasukite vietinę VPN paskyrą neprarandant jos teisių

Veikiančio VPN slaptažodžio pakeitimas atrodo kaip dviejų eilučių pakeitimas, kol perstatyta paskyra grįžta su numatytosiomis teisėmis ir vienintelė valdymo sesija dingsta. Saugi procedūra priklauso nuo to, kur saugomi prisijungimo duomenys ir kuris protokolas juos naudoja, o ne nuo to, kuri komanda trumpiausia. Palyginkite abu metodus prieš liesdami įrenginį. Rotacija vietoje išsaugo paskyros objektą; ištrynimas ir pakartotinis sukūrimas jį pakeičia, ir viskas, kas į jį rodė, išnyksta kartu.

Išsiaiškinkite, kuri saugykla iš tikrųjų autentifikuoja sesiją

Pradėkite nuo tunelio arba ryšio profilio, o ne nuo vartotojų duomenų bazės. Profilis nurodo autentifikavimo metodą ir dažnai serverių grupę, o jei ta grupė rodo į RADIUS ar TACACS+, vietinis vartotojo vardas įrenginyje tėra puošmena. Perskaitykite profilio autentifikavimo sąrašą ir AAA grupę, į kurią jis nurodo, prieš ką nors planuodami. Tik kai profilis sako „vietinis“, įrenginio paskyra turi reikšmės. Suklyskite čia ir pasukite prisijungimo duomenis, kurių niekas nenaudoja, o tikrasis katalogo įrašas liks lygiai toks, koks buvo.

Tas pats įrenginys paprastai talpina dvi populiacijas: administratorius, kurie prisijungia prie jo, ir VPN vartotojus, kurie užbaigia tunelį. Jie gali dalytis saugykla, ir nereikėtų manyti, kad taip yra.

Atnaujinimas vietoje prieš ištrynimą ir pakartotinį sukūrimą

Rotacija vietoje pakeičia vieną esamo objekto atributą. Privilegijų lygis, grupės narystė, autorizacijos atributai ir bet kokia politika, kuri nurodo paskyrą, išlieka, nes nieko nebuvo pašalinta. Ištrynimas ir pakartotinis sukūrimas perstato objektą iš komandinės eilutės, todėl kiekvienas laukas, kurio nekartojote, grįžta į numatytąją reikšmę. Įrenginyje, kuriame kiekvieno vartotojo atributai turi skaidyto tunelio ar adresų baseino priskyrimus, tas skirtumas ir yra visa rizika.

Perstatymas turi vieną teisėtą panaudojimą: kai reikia pakeisti patį saugojimo formatą, o platforma nesiūlo konvertavimo. Net tada pirmiausia užfiksuokite esamą įrašą, nes veikianti konfigūracija yra vienintelis tikslus paskyros turėtų dalykų inventorius. To konfigūracijos kopija, padaryta prieš pakeitimą, vertesnė už iš atminties parašytą grąžinimo planą.

Kodėl turimas maišos kodas gali būti ne tas slaptažodis, kurio jam reikia

Saugojimo formatai skiriasi taip, kad tai lemia atsakymą. Vienkryptė maiša gali patikrinti slaptažodį, kai serveris jį gauna atviru pavidalu tunelio viduje, tačiau iššūkio-atsakymo metodui reikia paties bendro slaptažodžio, kad būtų apskaičiuota santrauka. Todėl kiekvienos paskyros konvertavimas į stipriausią vienkryptį formatą gali sulaužyti CHAP arba MS-CHAP būtent tiems vartotojams, kurie nuo jo priklauso.

Spręskite pagal protokolą, o ne pagal šūkį. Kai metodui reikia atkuriamo slaptažodžio, tas reikalavimas yra dizaino apribojimas, o ne apsileidimas, kurį reikia išspręsti.

Sesijos, kurios gyvena ilgiau nei prisijungimo duomenys

Prisijungimo duomenų pakeitimas nenutraukia jau autentifikuotų sesijų. Bendrasis mazgas su sukurtu tuneliu toliau veikia iki rakto atnaujinimo, pakartotinės autentifikacijos ar aiškaus atsijungimo.

Planuokite tą dalį atskirai ir planuokite prieš pakeitimą. Jei prisijungimo duomenys nutekėjo, gyvų sesijų palikimas panaikina rotaciją. Jei jie tiesiog paseno, visų mazgų priverstinis atjungimas yra pertrauka, kurios jums nereikėjo. Dirbdami laikykite atvirą antrą administravimo kelią, geriausia tokį, kuris nepriklauso nuo redaguojamos paskyros, nes čia gedimo režimas atima prieigą būtent tada, kai jos reikia. Tada patikrinkite naują prisijungimą ir išteklius, kuriuos jis gali pasiekti.

Įrodykite, kad teisės išliko

Prisijunkite kaip pasuktas vartotojas ir patikrinkite, ką sesija suteikia, o ne tik kad ji atsidarė. Pasiekite išteklių, kuriam reikia autorizacijos, kurią paskyra turi turėti, ir pabandykite tokį, kurio ji neturėtų pasiekti. Sėkmingas prisijungimas su susiaurinta ar išplėsta prieiga yra nepavykęs pakeitimas.

Palyginkite veikiančios konfigūracijos autorizacijos atributus su kopija, kurią paėmėte pradžioje. Pažiūrėkite į grupės narystę, adresų baseiną, DNS ir skaidyto tunelio nustatymus bei bet kurį politikos objektą, kuris įvardijo paskyrą. Tada atnaujinkite įrašą apie tai, kur gyvena tie prisijungimo duomenys, nes kita rotacija prasideda nuo tos pastabos. Rotacija, kurios niekas negali pakartoti pagal dokumentaciją, buvo išgyventa tik kartą.