Identiti VPN berasingan untuk pasukan kecil, tanpa direktori

Enam orang berkongsi satu log masuk VPN, seorang daripada mereka berhenti, dan satu-satunya cara untuk membuang aksesnya ialah menukar rahsia yang digunakan oleh semua orang lain. Itulah masalah sebenar, dan ia tidak memerlukan Active Directory untuk diselesaikan. Pejabat kecil boleh menyimpan identiti berasingan dalam mana-mana stor tempatan yang disokong gerbangnya dan masih menganggap perlepasan sebagai rutin. Kerjanya terletak pada memilih stor dan menulis langkah pembuangan sebelum anda memerlukannya.

Mulakan dengan kelayakan yang dipegang setiap orang

Senaraikan apa yang digunakan setiap orang untuk menyambung sebelum memilih backend. Satu komputer riba, satu telefon, mungkin komputer meja di rumah, dan setiap satunya ialah kelayakan berasingan atau sijil peranti berasingan. Jika anda tidak dapat menamakan kelayakan yang dipegang seseorang, anda tidak dapat membuangnya kemudian.

Dua orang yang berkongsi satu profil ialah kes yang menjadikan setiap langkah seterusnya lebih sukar. Betulkan itu dahulu, kerana tiada direktori menyelesaikan rahsia yang dikongsi.

Pilih stor yang benar-benar disokong oleh gerbang

Pilih stor identiti yang sudah disokong gerbang, bukan yang anda ingin jalankan. Gerbang dengan pangkalan data pengguna tempatan boleh menyimpan akaun berasingan dengan dasar bagi setiap pengguna. Penggunaan IKEv2 boleh memetakan identiti EAP kepada rahsia tertentu, asalkan kaedah klien dan pengesah sepadan. Persediaan berasaskan sijil boleh mengeluarkan satu sijil bagi setiap peranti daripada pihak berkuasa bersama, yang mengekalkan sauh kepercayaan dikongsi sementara kelayakan kekal berasingan.

Lokasi stor kurang penting daripada operasinya: pendaftaran, sandaran, pembaharuan dan pembatalan. Jika mana-mana daripadanya tiada jawapan, pilihan itu belum selesai.

Jika gerbang menawarkan akaun tempatan dan sijil, utamakan yang boleh dikendalikan pasukan anda pada pukul dua pagi tanpa vendor di telefon. Keutamaan itu tentang masa pemulihan, bukan tentang pilihan mana yang lebih kuat dari segi teknikal.

Pisahkan orang daripada peranti

Tentukan apa yang diwakili kelayakan: orang, peranti, atau kedua-duanya. Komputer riba dan telefon milik seorang pekerja ialah dua peranti dan satu orang, dan kehilangan telefon tidak semestinya perlu menyahaktifkan komputer riba. Tuliskan model itu, kerana ia menentukan makna pembuangan.

Catat pemilik, peranti, tarikh pengeluaran dan laluan pembatalan bagi setiap kelayakan. Simpan rekod itu di tempat pejabat boleh membacanya tanpa orang yang menyediakannya. Jadual dengan empat lajur itu cukup untuk enam orang dan masih berskala hingga enam puluh.

Jadikan pembuangan operasi biasa

Tulis prosedur perlepasan sebelum perlepasan pertama. Nyahaktifkan identiti, tamatkan mana-mana sesi aktif, dan sahkan bahawa terowong benar-benar gugur dan bukan menunggu pemasa pengesahan semula. Kemudian periksa bahawa kelayakan lama gagal daripada mesin di luar rangkaian pejabat. Keseluruhan urutan sepatutnya mengambil beberapa minit dan tidak memerlukan pengeluaran semula kepada sesiapa.

sudo swanctl --terminate --ike alice-laptop

Kekalkan laluan pemulihan pentadbir yang tidak bergantung pada akaun yang dinyahaktifkan, dan selaraskan akaun tempatan yang kemudiannya berpindah ke direktori. Matlamatnya mudah: membuang seorang ialah tugas rutin, bukan projek yang menyentuh profil semua orang lain. Pengesahan tempatan Access Server ialah satu contoh terdokumentasi stor yang sesuai dengan bentuk ini.