Identitajiet VPN individwali għal tim żgħir, mingħajr direttorju

Sitt persuni jaqsmu login VPN wieħed, waħda minnhom titlaq, u l-uniku mod kif tneħħi l-aċċess tagħha huwa li tbiddel is-sigriet li jużaw kulħadd l-ieħor. Din hija l-problema vera, u ma teħtieġx Active Directory biex tissolva. Uffiċċju żgħir jista’ jżomm identitajiet separati fil-maħżen lokali li jappoġġja l-gateway tiegħu u xorta jittratta t-tluq bħala rutina. Ix-xogħol jinsab fl-għażla tal-maħżen u fil-kitba tal-passi tat-tneħħija qabel ma jkollok bżonnhom.

Ibda bil-kredenzjali li għandha kull persuna

Elenka li b’xiex tgħaqqad kull persuna qabel ma tagħżel backend. Laptop wieħed, telefon, forsi desktop fid-dar, u kull wieħed minnhom huwa kredenzjali separata jew ċertifikat ta’ apparat separat. Jekk ma tistax issemmi l-kredenzjali li għandha persuna, ma tistax tneħħiha aktar tard.

Żewġ persuni li jaqsmu profil wieħed hija l-każ li jagħmel kull pass ieħor aktar diffiċli. Sewwi dan l-ewwel, għax ebda direttorju ma jsolvi sigriet maqsum.

Agħżel il-maħżen li l-gateway tabilħaqq jappoġġja

Agħżel il-maħżen tal-identitajiet li l-gateway diġà jappoġġja, mhux dak li tixtieq tmexxi. Gateway b’bażi tad-dejta lokali tal-utenti jista’ jżomm kontijiet individwali b’politika għal kull utent. Skjerament IKEv2 jista’ jorbot identità EAP ma’ sigriet speċifiku, sakemm il-metodu tal-klijent u l-verifikatur jaqblu. Konfigurazzjonijiet ibbażati fuq ċertifikati jistgħu joħorġu ċertifikat wieħed għal kull apparat minn awtorità komuni, li żżomm l-ankra tal-fiduċja maqsuma waqt li l-kredenzjali jibqgħu separati.

Il-post tal-maħżen inqas importanti mill-operazzjonijiet tiegħu: reġistrazzjoni, backup, tiġdid u revoka. Jekk waħda minnhom m’għandhiex tweġiba, l-għażla mhijiex mitmuma.

Jekk il-gateway joffri kemm kontijiet lokali kif ukoll ċertifikati, ippreferi dak li t-tim tiegħek jista’ jmexxi fis-sagħtejn ta’ filgħodu mingħajr il-fornitur fuq it-telefon. Dik il-preferenza hija dwar il-ħin tal-irkupru, mhux dwar liema għażla hija teknikament aktar b’saħħitha.

Issepara l-persuna mill-apparati

Iddeċiedi xiex tirrappreżenta kredenzjali: persuna, apparat, jew it-tnejn. Laptop u telefon ta’ impjegat wieħed huma żewġ apparati u persuna waħda, u t-telf tat-telefon m’għandux neċessarjament jiddiżattiva l-laptop. Ikteb dak il-mudell, għax huwa jiddetermina x’ifisser it-tneħħija.

Irreġistra s-sid, l-apparat, id-data tal-ħruġ u t-triq tar-revoka għal kull kredenzjali. Żomm dik ir-rekord fejn l-uffiċċju jista’ jaqrah mingħajr il-persuna li stabbiliet dan. Tabella b’dawk l-erba’ kolonni biżżejjed għal sitt persuni u għadha tiġi skalata sa sittin.

Agħmel it-tneħħija operazzjoni ordinarja

Ikteb il-proċedura tat-tluq qabel l-ewwel tluq. Iddiżattiva l-identità, temm kwalunkwe sessjoni attiva, u ikkonferma li t-tunnel tassew jaqa’ minflok ma tistenna tajmer ta’ awtentikazzjoni mill-ġdid. Imbagħad iċċekkja li l-kredenzjali preċedenti tfalli minn magna barra n-netwerk tal-uffiċċju. Is-sekwenza kollha għandha tieħu minuti u ma teħtieġx ħruġ mill-ġdid għal ħaddieħor.

sudo swanctl --terminate --ike alice-laptop

Żomm triq tal-irkupru tal-amministratur li ma tiddependix fuq il-kont iddiżattivat, u rrikonċilja kontijiet lokali li aktar tard imorru f’direttorju. L-għan huwa sempliċi: it-tneħħija ta’ persuna waħda hija xogħol ta’ rutina, mhux proġett li jmiss il-profil ta’ kulħadd l-ieħor. Awtentikazzjoni lokali ta’ Access Server hija eżempju dokumentat ta’ maħżen li jaqbel ma’ din il-forma.