Ротирајте локална VPN сметка без да ги изгубите нејзините дозволи

Замената на работна VPN лозинка изгледа како промена во два реда, се додека повторно изградената сметка не се врати со стандардни дозволи и единствената административна сесија не исчезне. Безбедната постапка зависи од тоа каде се чуваат акредитивите и кој протокол ги користи, а не од тоа која наредба е најкратка. Споредете ги двата пристапи пред да го допрете уредот. Ротацијата на самото место го задржува објектот на сметката; бришењето и повторното создавање ја заменуваат, и се што покажуваше кон неа оди со неа.

Откријте кое складиште всушност ја автентицира сесијата

Започнете од профилот на тунелот или врската, а не од базата на корисници. Профилот наведува метод на автентикација и често серверска група, и ако таа група покажува кон RADIUS или TACACS+, локалното корисничко име на уредот е само украс. Прочитајте ја листата за автентикација на профилот и AAA групата кон која упатува пред да планирате нешто. Само кога профилот вели локално, сметката на уредот е важна. Погрешете го ова и ќе ротирате акредитиви што никој не ги користи, додека вистинскиот запис во именикот останува точно каков што бил.

Истиот уред обично држи две популации: администратори што се најавуваат на него и VPN корисници што завршуваат тунел. Тие можат да делат складиште и не треба да се претпоставува дека делат.

Ажурирање на самото место наспроти бришење и повторно создавање

Ротацијата на самото место менува еден атрибут на постоечки објект. Нивото на привилегии, членството во група, атрибутите за авторизација и секоја политика што упатува на сметката преживуваат, бидејќи ништо не е отстрането. Бришењето и повторното создавање го преградуваат објектот од командна линија, па секое поле што не сте го повториле се враќа на стандардната вредност. На уред каде атрибутите по корисник носат доделувања за поделен тунел или адресен базен, таа разлика е целиот ризик.

Повторното градење има една легитимна употреба: кога самиот зачуван формат мора да се промени, а платформата не нуди конверзија. Дури и тогаш, прво забележете го постоечкиот запис, бидејќи текучката конфигурација е единствениот точен инвентар на она што сметката го носела. Копија од таа конфигурација направена пред промената е подобра од план за враќање напишан по памтење.

Зошто хешот што го имате можеби не е тајната што му треба

Форматите за чување се разликуваат на начин што го одлучува одговорот. Еднонасочен хеш може да провери лозинка кога серверот ја добива во отворен облик внатре во тунелот, но методот предизвик-одговор бара самата заедничка тајна за да го пресмета резимето. Затоа претворањето на секоја сметка во најсилниот еднонасочен формат може да го скрши CHAP или MS-CHAP токму за корисниците што зависат од него.

Одлучувајте по протокол, а не по слоган. Онаму каде методот бара обновлива тајна, тоа барање е ограничување на дизајнот, а не пропуст што треба да се исчисти.

Сесии што го надживуваат акредитивот

Промената на акредитив не ги прекинува сесиите што веќе се автентицирани. Јазол со воспоставен тунел продолжува да работи до обновување на клучот, повторна автентикација или изречно исклучување.

Планирајте го тој дел одделно и планирајте го пред промената. Ако акредитивот протече, оставањето живи сесии да работат ја поништува ротацијата. Ако само застарел, присилувањето на секој јазол офлајн е прекин што не ви бил потребен. Држете втор административен пат отворен додека работите, по можност таков што не зависи од сметката што се уредува, бидејќи режимот на дефект овде ви го одзема пристапот токму кога ви треба. Потоа проверете нова најава и ресурсите до кои може да стигне.

Докажете дека дозволите преживеале

Најавете се како ротираниот корисник и проверете што дава сесијата, не само што се отворила. Стигнете до ресурс што бара авторизацијата што сметката треба да ја носи и обидете се со оној до кој не треба да стигне. Успешна најава со стеснет или проширен пристап е неуспешна промена.

Споредете ги атрибутите за авторизација во текучката конфигурација со копијата што ја зедовте на почетокот. Погледнете го членството во група, адресниот базен, поставките за DNS и поделен тунел и секој објект на политика што ја именувал сметката. Потоа ажурирајте го записот за тоа каде живее тој акредитив, бидејќи следната ротација започнува од таа забелешка. Ротација што никој не може да ја повтори од документацијата е преживеана само еднаш.