Atskiri VPN tapatumai mažai komandai, be katalogo

Šeši žmonės dalijasi vienu VPN prisijungimu, vienas jų išeina, ir vienintelis būdas pašalinti jo prieigą yra pakeisti paslaptį, kurią naudoja visi kiti. Tai ir yra tikroji problema, ir jai išspręsti nereikia Active Directory. Mažas biuras gali laikyti atskirus tapatumus bet kurioje vietinėje saugykloje, kurią palaiko jo šliuzas, ir vis tiek traktuoti išėjimus kaip rutiną. Darbas yra pasirinkti saugyklą ir surašyti šalinimo veiksmus prieš jiems prireikus.

Pradėkite nuo prisijungimo duomenų, kuriuos turi kiekvienas

Prieš rinkdamiesi backend, surašykite, su kuo jungiasi kiekvienas. Vienas nešiojamasis kompiuteris, telefonas, galbūt namų stalinis kompiuteris, ir kiekvienas jų yra atskiri prisijungimo duomenys arba atskiras įrenginio sertifikatas. Jei negalite įvardyti prisijungimo duomenų, kuriuos žmogus turi, negalėsite jų vėliau pašalinti.

Du žmonės, besidalijantys vienu profiliu, yra atvejis, dėl kurio kiekvienas kitas žingsnis tampa sunkesnis. Pirmiausia tai sutvarkykite, nes joks katalogas neišsprendžia bendros paslapties.

Pasirinkite saugyklą, kurią šliuzas tikrai palaiko

Pasirinkite tapatumų saugyklą, kurią šliuzas jau palaiko, o ne tą, kurią norėtumėte valdyti. Šliuzas su vietine vartotojų duomenų baze gali laikyti atskiras paskyras su kiekvienam vartotojui skirta politika. IKEv2 diegimas gali susieti EAP tapatumą su konkrečia paslaptimi, jei kliento metodas ir tikrintojas sutampa. Sprendimai su sertifikatais gali išduoti po vieną sertifikatą įrenginiui iš bendros institucijos, o tai išlaiko pasitikėjimo inkarą bendrą, kol prisijungimo duomenys lieka atskiri.

Saugyklos vieta mažiau svarbi už jos operacijas: registraciją, atsarginę kopiją, atnaujinimą ir panaikinimą. Jei į kurią nors iš jų nėra atsakymo, pasirinkimas nebaigtas.

Jei šliuzas siūlo ir vietines paskyras, ir sertifikatus, pirmenybę teikite tam, ką jūsų komanda gali valdyti antrą valandą nakties be tiekėjo telefonu. Šis pasirinkimas susijęs su atkūrimo laiku, o ne su tuo, kuri parinktis techniškai stipresnė.

Atskirkite žmogų nuo įrenginių

Nuspręskite, ką reiškia prisijungimo duomenys: žmogų, įrenginį ar abu. Vieno darbuotojo nešiojamasis kompiuteris ir telefonas yra du įrenginiai ir vienas žmogus, o pametus telefoną nešiojamasis kompiuteris neturėtų būti būtinai išjungtas. Užrašykite šį modelį, nes jis nusako, ką reiškia šalinimas.

Kiekvieniems prisijungimo duomenims užrašykite savininką, įrenginį, išdavimo datą ir panaikinimo kelią. Laikykite tą įrašą ten, kur biuras gali jį perskaityti be žmogaus, kuris jį nustatė. Lentelės su tais keturiais stulpeliais pakanka šešiems žmonėms, ir ji vis dar išsiplečia iki šešiasdešimt.

Paverskite šalinimą įprasta operacija

Surašykite išėjimo procedūrą prieš pirmąjį išėjimą. Išjunkite tapatumą, užbaikite bet kurią aktyvią sesiją ir patvirtinkite, kad tunelis tikrai krenta, o ne laukite pakartotinio autentifikavimo laikmačio. Tada patikrinkite, kad buvę prisijungimo duomenys nepavyksta iš mašinos už biuro tinklo ribų. Visa seka turėtų užtrukti minutes ir nereikalauti niekam kitam naujo išdavimo.

sudo swanctl --terminate --ike alice-laptop

Išlaikykite administratoriaus atkūrimo kelią, kuris nepriklauso nuo išjungtos paskyros, ir suderinkite vietines paskyras, kurios vėliau persikels į katalogą. Tikslas paprastas: pašalinti vieną žmogų yra įprasta užduotis, o ne projektas, liečiantis visų kitų profilius. Vietinė autentifikacija Access Server yra vienas dokumentuotas pavyzdys saugyklos, kuri atitinka šią formą.