Een lokaal VPN-account roteren zonder de rechten te verliezen

Een werkend VPN-wachtwoord vervangen lijkt een wijziging van twee regels, totdat het herbouwde account terugkomt met standaardrechten en de enige beheersessie weg is. De veilige procedure hangt af van waar de inloggegevens zijn opgeslagen en welk protocol ze gebruikt, niet van welke opdracht het kortst is. Vergelijk de twee benaderingen voordat u het apparaat aanraakt. Roteren op zijn plaats behoudt het accountobject; verwijderen en opnieuw aanmaken vervangt het, en alles wat ernaar wees gaat ermee weg.

Ontdek welke opslag de sessie werkelijk authenticeert

Begin bij het tunnel- of verbindingsprofiel, niet bij de gebruikersdatabase. Het profiel noemt een authenticatiemethode en vaak een servergroep, en als die groep naar RADIUS of TACACS+ wijst, is de lokale gebruikersnaam op het apparaat enkel versiering. Lees de authenticatielijst van het profiel en de AAA-groep waarnaar het verwijst voordat u iets plant. Alleen wanneer het profiel lokaal zegt, doet het account op het apparaat ertoe. Doe dit verkeerd en u roteert inloggegevens die niemand gebruikt, terwijl de echte directoryvermelding precies blijft zoals die was.

Hetzelfde apparaat herbergt meestal twee populaties: beheerders die erop inloggen en VPN-gebruikers die een tunnel beëindigen. Ze kunnen een opslag delen, en dat mag niet worden aangenomen.

Bijwerken op zijn plaats tegenover verwijderen en opnieuw aanmaken

Roteren op zijn plaats wijzigt één attribuut van een bestaand object. Privilegeniveau, groepslidmaatschap, autorisatieattributen en elk beleid dat naar het account verwijst, blijven bestaan omdat niets is verwijderd. Verwijderen en opnieuw aanmaken bouwt het object opnieuw op vanaf een opdrachtregel, dus elk veld dat u niet herhaalde komt terug op zijn standaardwaarde. Op een apparaat waar attributen per gebruiker split-tunnel- of adrespoeltoewijzingen dragen, is dat verschil het hele risico.

Herbouwen heeft één legitiem gebruik: wanneer het opgeslagen formaat zelf moet veranderen en het platform geen conversie biedt. Zelfs dan legt u eerst de bestaande vermelding vast, want de actieve configuratie is de enige nauwkeurige inventaris van wat het account droeg. Een kopie van die configuratie van vóór de wijziging is beter dan een terugdraaiplan uit het geheugen.

Waarom de hash die u hebt misschien niet het geheim is dat hij nodig heeft

Opslagformaten verschillen op een manier die het antwoord bepaalt. Een eenrichtingshash kan een wachtwoord verifiëren wanneer de server het in leesbare vorm binnen de tunnel ontvangt, maar een challenge-responsemethode heeft het gedeelde geheim zelf nodig om de digest te berekenen. Daarom kan het omzetten van elk account naar het sterkste eenrichtingsformaat CHAP of MS-CHAP breken voor precies de gebruikers die erop vertrouwen.

Beslis op basis van protocol, niet van slogan. Waar de methode een herstelbaar geheim vereist, is die eis een beperking van het ontwerp en geen nalatigheid die moet worden opgeruimd.

Sessies die de inloggegevens overleven

Het wijzigen van inloggegevens beëindigt geen sessies die al zijn geauthenticeerd. Een peer met een opgezette tunnel blijft werken tot sleutelvernieuwing, herauthenticatie of een expliciete verbreking.

Plan dat deel apart, en plan het vóór de wijziging. Als de inloggegevens zijn uitgelekt, maakt het laten doorlopen van actieve sessies de rotatie ongedaan. Als ze alleen zijn verlopen, is elke peer offline dwingen een storing die u niet nodig had. Houd tijdens het werk een tweede beheerpad open, bij voorkeur een dat niet afhangt van het account dat wordt bewerkt, want de faalmodus hier ontneemt u de toegang precies wanneer u die nodig hebt. Controleer daarna een nieuwe aanmelding en de resources die deze kan bereiken.

Bewijs dat de rechten hebben overleefd

Meld u aan als de geroteerde gebruiker en controleer wat de sessie verleent, niet alleen dat zij opende. Bereik een resource die de autorisatie vereist die het account hoort te dragen, en probeer er een die het niet zou mogen bereiken. Een geslaagde aanmelding met vernauwde of verruimde toegang is een mislukte wijziging.

Vergelijk de autorisatieattributen in de actieve configuratie met de kopie die u aan het begin nam. Kijk naar groepslidmaatschap, adrespoel, DNS- en split-tunnelinstellingen, en elk beleidsobject dat het account noemde. Werk daarna de registratie bij van waar die inloggegevens leven, want de volgende rotatie begint bij die notitie. Een rotatie die niemand uit de documentatie kan herhalen, is maar één keer doorstaan.