Одделни VPN идентитети за мал тим, без директориум

Шест луѓе делат едно VPN најавување, еден од нив заминува, и единствениот начин да се отстрани неговиот пристап е да се смени тајната што ја користат сите останати. Тоа е вистинскиот проблем, и за негово решавање не е потребен Active Directory. Мала канцеларија може да држи одделни идентитети во кое било локално складиште што го поддржува нејзината порта, и сепак да ги третира заминувањата како рутина. Работата е во изборот на складиштето и во запишувањето на чекорите за отстранување пред да ви бидат потребни.

Започнете со акредитивите што ги има секој

Наведете со што се поврзува секој пред да изберете бекенд. Еден лаптоп, телефон, можеби домашен десктоп, и секој од нив е одделни акредитиви или одделен сертификат на уред. Ако не можете да ги именувате акредитивите што ги има некое лице, не можете да ги отстраните подоцна.

Две лица што делат еден профил е случајот што го отежнува секој нареден чекор. Прво тоа поправете го, зашто ниту еден директориум не решава споделена тајна.

Изберете го складиштето што портата навистина го поддржува

Изберете го складиштето за идентитети што портата веќе го поддржува, а не тоа што би сакале да го водите. Порта со локална база на корисници може да држи поединечни сметки со политика за секој корисник. Распоредувањето на IKEv2 може да го поврзе идентитетот EAP со одредена тајна, доколку методот на клиентот и проверувачот се совпаѓаат. Решенијата засновани на сертификати можат да издадат по еден сертификат на уред од заеднички орган, што го држи сидрото на доверба заедничко додека акредитивите остануваат одделни.

Локацијата на складиштето е помалку важна од неговите операции: запишување, резервна копија, обновување и отповикување. Ако на некоја од нив нема одговор, изборот не е завршен.

Ако портата нуди и локални сметки и сертификати, дајте предност на тоа што вашиот тим може да го води во два часот наутро без добавувачот на телефон. Таа предност се однесува на времето за обновување, а не на тоа која опција е технички посилна.

Одвојте го лицето од уредите

Одлучете што претставуваат акредитивите: лице, уред или и двете. Лаптоп и телефон на еден вработен се два уреда и едно лице, и губењето на телефонот не треба нужно да го исклучи лаптопот. Запишете го тој модел, зашто тој одредува што значи отстранување.

За секои акредитиви запишете го сопственикот, уредот, датумот на издавање и патеката за отповикување. Чувајте го тој запис таму каде канцеларијата може да го прочита без лицето што го поставило. Табела со тие четири колони е доволна за шест луѓе и продолжува да се протега до шеесет.

Направете отстранувањето вообичаена операција

Напишете ја процедурата за заминување пред првото заминување. Исклучете го идентитетот, прекинете која било активна сесија и потврдете дека тунелот навистина паѓа, наместо да чекате тајмер за повторна автентикација. Потоа проверете дека претходните акредитиви не успеваат од машина надвор од канцелариската мрежа. Целата низа треба да трае минути и да не бара повторно издавање за никого друг.

sudo swanctl --terminate --ike alice-laptop

Задржете администраторска патека за обновување што не зависи од исклучената сметка и усогласете ги локалните сметки што подоцна ќе преминат во директориум. Целта е едноставна: отстранувањето на едно лице е рутинска задача, а не проект што ги допира профилите на сите останати. Локалната автентикација на Access Server е еден документиран пример за складиште што одговара на овој облик.