Pagrieziet vietējo VPN kontu, nezaudējot tā atļaujas

Strādājošas VPN paroles aizstāšana izskatās kā divu rindu izmaiņa, līdz pārbūvētais konts atgriežas ar noklusējuma atļaujām un vienīgā pārvaldības sesija ir pazudusi. Drošā procedūra ir atkarīga no tā, kur tiek glabāti akreditācijas dati un kurš protokols tos izmanto, nevis no tā, kura komanda ir īsākā. Salīdziniet abas pieejas pirms ierīces aizskaršanas. Rotācija uz vietas saglabā konta objektu; dzēšana un atkārtota izveide to aizstāj, un viss, kas uz to norādīja, aiziet kopā ar to.

Noskaidrojiet, kura krātuve patiešām autentificē sesiju

Sāciet ar tuneļa vai savienojuma profilu, nevis ar lietotāju datubāzi. Profils nosauc autentifikācijas metodi un bieži vien serveru grupu, un, ja šī grupa norāda uz RADIUS vai TACACS+, vietējais lietotājvārds ierīcē ir tikai rotājums. Pirms kaut ko plānot, izlasiet profila autentifikācijas sarakstu un AAA grupu, uz kuru tas atsaucas. Tikai tad, kad profils saka „vietējs“, ierīces konts ir svarīgs. Kļūdieties šeit, un jūs pagriezīsiet akreditācijas datus, ko neviens neizmanto, kamēr īstais kataloga ieraksts paliks tieši tāds, kāds tas bija.

Viena un tā pati ierīce parasti glabā divas populācijas: administratorus, kas tajā piesakās, un VPN lietotājus, kas izbeidz tuneli. Viņi var kopīgot krātuvi, un nevajadzētu pieņemt, ka viņi to dara.

Atjaunināšana uz vietas pret dzēšanu un atkārtotu izveidi

Rotācija uz vietas maina vienu esoša objekta atribūtu. Privileģiju līmenis, grupas dalība, autorizācijas atribūti un jebkura politika, kas atsaucas uz kontu, izdzīvo, jo nekas netika noņemts. Dzēšana un atkārtota izveide pārbūvē objektu no komandrindas, tāpēc katrs lauks, ko neatkārtojāt, atgriežas pie noklusējuma vērtības. Ierīcē, kur katram lietotājam atribūti nes sadalītā tuneļa vai adrešu baseina piešķīrumus, šī atšķirība ir viss risks.

Pārbūvei ir viens likumīgs lietojums: kad jāmaina pats glabāšanas formāts un platforma nepiedāvā konvertēšanu. Pat tad vispirms fiksējiet esošo ierakstu, jo darbojošā konfigurācija ir vienīgais precīzais konta pārnēsātā inventarizācija. Šīs konfigurācijas kopija, kas ņemta pirms izmaiņām, ir labāka par no atmiņas uzrakstītu atritināšanas plānu.

Kāpēc jūsu rīcībā esošais hešs var nebūt tas noslēpums, kas tam nepieciešams

Glabāšanas formāti atšķiras tā, kas izšķir atbildi. Vienvirziena hešs var pārbaudīt paroli, kad serveris to saņem atklātā veidā tuneļa iekšpusē, bet izaicinājuma-atbildes metodei ir nepieciešams pats koplietotais noslēpums, lai aprēķinātu kopsavilkumu. Tāpēc katra konta konvertēšana uz spēcīgāko vienvirziena formātu var salauzt CHAP vai MS-CHAP tieši tiem lietotājiem, kas no tā ir atkarīgi.

Izlemiet pēc protokola, nevis pēc saukļa. Kur metodei nepieciešams atjaunojams noslēpums, šī prasība ir dizaina ierobežojums, nevis pārskatīšanās, kas jāizlabo.

Sesijas, kas pārdzīvo akreditācijas datus

Akreditācijas datu maiņa neizbeidz sesijas, kas jau ir autentificētas. Vienaudzis ar izveidotu tuneli turpina darboties līdz atslēgas atjaunošanai, atkārtotai autentifikācijai vai skaidrai atvienošanai.

Plānojiet šo daļu atsevišķi un plānojiet to pirms izmaiņām. Ja akreditācijas dati tika noplūduši, dzīvu sesiju atstāšana darbojamies rotāciju padara bezjēdzīgu. Ja tie vienkārši novecoja, visu vienaudžu piespiedu atvienošana ir pārtraukums, kas jums nebija vajadzīgs. Strādājot turiet atvērtu otru pārvaldības ceļu, vēlams tādu, kas nav atkarīgs no rediģētā konta, jo šeit atteices režīms atņem piekļuvi tieši tad, kad tā jums ir vajadzīga. Pēc tam pārbaudiet jaunu pieteikšanos un resursus, ko tā var sasniegt.

Pierādiet, ka atļaujas ir izdzīvojušas

Piesakieties kā pagrieztais lietotājs un pārbaudiet, ko sesija piešķir, nevis tikai to, ka tā ir atvērusies. Sasniedziet resursu, kam nepieciešama autorizācija, kas kontam jānes, un pamēģiniet tādu, kuru tam nevajadzētu sasniegt. Veiksmīga pieteikšanās ar sašaurinātu vai paplašinātu piekļuvi ir neizdevusies izmaiņa.

Salīdziniet darbojošās konfigurācijas autorizācijas atribūtus ar kopiju, ko paņēmāt sākumā. Paskatieties uz grupas dalību, adrešu baseinu, DNS un sadalītā tuneļa iestatījumiem un jebkuru politikas objektu, kas nosauca kontu. Pēc tam atjauniniet ierakstu par to, kur dzīvo šie akreditācijas dati, jo nākamā rotācija sākas no šīs piezīmes. Rotācija, ko neviens nevar atkārtot no dokumentācijas, ir pārciesta tikai vienu reizi.