Roter ein lokal VPN-konto utan å miste løyva

Å byta ut eit fungerande VPN-passord ser ut som ei endring på to linjer, heilt til den gjenoppbygde kontoen kjem tilbake med standardløyve og den einaste administrasjonsøkta er borte. Den trygge prosedyren avheng av kvar legitimasjonen er lagra og kva protokoll som brukar han, ikkje av kva kommando som er kortast. Samanlikn dei to tilnærmingane før du rører eininga. Rotasjon på staden bevarar kontoobjektet; sletting og nyoppretting erstattar det, og alt som peika på det, forsvinn med det.

Finn ut kva lager som faktisk autentiserer økta

Start ved tunnel- eller tilkoplingsprofilen, ikkje ved brukardatabasen. Profilen nemner ein autentiseringsmetode og ofte ei tenargruppe, og om den gruppa peikar på RADIUS eller TACACS+, er det lokale brukarnamnet på boksen berre dekorasjon. Les autentiseringslista til profilen og AAA-gruppa han viser til, før du planlegg noko. Berre når profilen seier lokal, tyder kontoen på boksen noko. Gjer du feil her, roterer du ein legitimasjon ingen brukar, medan den verkelege katalogoppføringa blir nøyaktig som ho var.

Den same eininga husar vanlegvis to populasjonar: administratorar som loggar på henne, og VPN-brukarar som avsluttar ein tunnel. Dei kan dela eit lager, og det bør ikkje bli anteke at dei gjer det.

Oppdatering på staden kontra sletting og nyoppretting

Rotasjon på staden endrar eitt attributt på eit eksisterande objekt. Privilegienivå, gruppemedlemskap, autorisasjonsattributt og kva som helst policy som viser til kontoen, overlever fordi ingenting vart fjerna. Sletting og nyoppretting byggjer objektet på nytt frå ei kommandolinje, så kvart felt du ikkje gjentok, kjem tilbake til standardverdien. På ei eining der attributt per brukar ber tildelingar av delt tunnel eller adressebasseng, er den skilnaden heile risikoen.

Gjenoppbygging har éin legitim bruk: når sjølve det lagra formatet må endrast og plattforma ikkje tilbyr nokon konvertering. Sjølv då bør du først registrera den eksisterande oppføringa, fordi den køyrande konfigurasjonen er den einaste nøyaktige oversikta over kva kontoen bar. Ei kopi av den konfigurasjonen teken før endringa slår ein tilbakerullingsplan skriven frå minnet.

Kvifor hashen du har kanskje ikkje er hemmelegheita han treng

Lagringsformat skil seg på ein måte som avgjer svaret. Ein einvegshash kan verifisera eit passord når tenaren mottek det i klartekst inne i tunnelen, men ein utfordring-svar-metode treng sjølve den delte hemmelegheita for å rekna ut digesten. Derfor kan det å konvertera kvar konto til det sterkaste einveisformatet bryta CHAP eller MS-CHAP for nøyaktig dei brukarane som er avhengige av det.

Avgjer etter protokoll, ikkje etter slagord. Der metoden krev ei gjenopprettbar hemmelegheit, er det kravet ei avgrensing i designet og ikkje ei gløymsle som skal ryddast opp.

Økter som overlever legitimasjonen

Å endra ein legitimasjon avsluttar ikkje økter som alt er autentiserte. Ein peer med ein etablert tunnel held fram til nøkkelrotasjon, reautentisering eller ei eksplisitt fråkopling.

Planlegg den delen separat, og planlegg han før endringa. Om legitimasjonen har leke, gjer det rotasjonen meiningslaus å la levande økter køyra. Om han berre er utlopen, er det eit avbrot du ikkje trong å tvinga kvar peer offline. Hald ein andre administrasjonsveg open medan du arbeider, helst ein som ikkje avheng av kontoen som blir redigert, fordi feilmodusen her fjernar tilgangen din nøyaktig når du treng han. Stadfest deretter ei ny pålogging og ressursane ho kan nå.

Prov at løyva overlevde

Logg på som den roterte brukaren og kontroller kva økta gir, ikkje berre at ho opna. Nå ein ressurs som krev autorisasjonen kontoen skal bera, og prøv ein han ikkje skal nå. Ei vellukka pålogging med innsnevra eller utvida tilgang er ei mislukka endring.

Samanlikn autorisasjonsattributta i den køyrande konfigurasjonen med kopien du tok i starten. Sjå på gruppemedlemskap, adressebasseng, DNS- og delt-tunnel-innstillingar, og kvart policyobjekt som nemnde kontoen. Oppdater deretter registreringa av kvar den legitimasjonen bur, sidan neste rotasjon byrjar frå den notata. Ein rotasjon ingen kan gjenta frå dokumentasjonen, er berre overlevd éin gong.