Putar akaun VPN setempat tanpa kehilangan kebenarannya

Menggantikan kata laluan VPN yang berfungsi kelihatan seperti perubahan dua baris, sehingga akaun yang dibina semula kembali dengan kebenaran lalai dan satu-satunya sesi pengurusan hilang. Prosedur selamat bergantung pada tempat kelayakan disimpan dan protokol yang menggunakannya, bukan pada arahan mana yang paling pendek. Bandingkan kedua-dua pendekatan sebelum menyentuh peranti. Putaran di tempat mengekalkan objek akaun; pemadaman dan penciptaan semula menggantikannya, dan semua yang menunjuk kepadanya hilang bersamanya.

Cari stor mana yang benar-benar mengesahkan sesi

Mulakan dari profil terowong atau sambungan, bukan dari pangkalan data pengguna. Profil menamakan kaedah pengesahan dan selalunya kumpulan pelayan, dan jika kumpulan itu menunjuk ke RADIUS atau TACACS+, nama pengguna setempat pada peranti hanyalah hiasan. Baca senarai pengesahan profil dan kumpulan AAA yang dirujuknya sebelum merancang apa-apa. Hanya apabila profil menyatakan setempat, akaun pada peranti itu penting. Salah di sini dan anda akan memutar kelayakan yang tiada siapa gunakan sementara entri direktori sebenar kekal tepat seperti asalnya.

Peranti yang sama biasanya menempatkan dua populasi: pentadbir yang log masuk ke dalamnya, dan pengguna VPN yang menamatkan terowong. Mereka boleh berkongsi stor, dan itu tidak boleh diandaikan.

Kemas kini di tempat berbanding padam dan cipta semula

Putaran di tempat mengubah satu atribut objek sedia ada. Tahap keistimewaan, keahlian kumpulan, atribut kebenaran dan mana-mana dasar yang merujuk akaun itu kekal, kerana tiada apa yang dibuang. Padam dan cipta semula membina semula objek itu dari baris arahan, jadi setiap medan yang tidak anda ulangi kembali kepada nilai lalainya. Pada peranti yang atribut setiap pengguna membawa penetapan terowong terpisah atau kolam alamat, perbezaan itulah keseluruhan risikonya.

Pembinaan semula mempunyai satu kegunaan sah: apabila format yang disimpan sendiri perlu berubah dan platform tidak menawarkan sebarang penukaran. Walaupun begitu, rakam dahulu entri sedia ada, kerana konfigurasi yang berjalan ialah satu-satunya inventori tepat tentang apa yang dibawa oleh akaun itu. Salinan konfigurasi itu yang diambil sebelum perubahan lebih baik daripada pelan pengunduran yang ditulis dari ingatan.

Mengapa hash yang anda miliki mungkin bukan rahsia yang diperlukannya

Format penyimpanan berbeza dalam cara yang menentukan jawapannya. Hash sehala boleh mengesahkan kata laluan apabila pelayan menerimanya secara jelas di dalam terowong, tetapi kaedah cabaran-tindak balas memerlukan rahsia dikongsi itu sendiri untuk mengira ringkasan. Oleh itu, menukar setiap akaun kepada format sehala terkuat boleh merosakkan CHAP atau MS-CHAP khususnya bagi pengguna yang bergantung padanya.

Putuskan mengikut protokol, bukan mengikut slogan. Di tempat kaedah memerlukan rahsia yang boleh dipulihkan, keperluan itu ialah kekangan reka bentuk dan bukan kelalaian yang perlu dibersihkan.

Sesi yang hidup lebih lama daripada kelayakan

Menukar kelayakan tidak menamatkan sesi yang telah disahkan. Rakan sebaya dengan terowong yang terbentuk terus berfungsi sehingga pembaharuan kunci, pengesahan semula atau pemutusan eksplisit.

Rancang bahagian itu secara berasingan, dan rancang sebelum perubahan. Jika kelayakan bocor, membiarkan sesi hidup berjalan menggagalkan putaran. Jika ia hanya luput, memaksa setiap rakan sebaya luar talian ialah gangguan yang anda tidak perlukan. Kekalkan laluan pentadbiran kedua terbuka semasa bekerja, sebaiknya yang tidak bergantung pada akaun yang sedang diedit, kerana mod kegagalan di sini menghilangkan akses anda tepat ketika anda memerlukannya. Kemudian sahkan log masuk baharu dan sumber yang boleh dicapainya.

Buktikan kebenaran itu kekal

Log masuk sebagai pengguna yang diputar dan semak apa yang diberikan oleh sesi, bukan sekadar ia terbuka. Capai sumber yang memerlukan kebenaran yang sepatutnya dibawa oleh akaun, dan cuba satu yang tidak sepatutnya dicapainya. Log masuk berjaya dengan akses sempit atau luas ialah perubahan yang gagal.

Bandingkan atribut kebenaran dalam konfigurasi yang berjalan dengan salinan yang anda ambil pada permulaan. Lihat keahlian kumpulan, kolam alamat, tetapan DNS dan terowong terpisah, serta mana-mana objek dasar yang menamakan akaun itu. Kemudian kemas kini rekod tentang tempat kelayakan itu berada, kerana putaran seterusnya bermula dari nota itu. Putaran yang tiada siapa boleh ulangi daripada dokumentasi hanya pernah dilalui sekali.