Individuelle VPN-identitetar for eit lite team, utan katalog

Seks personar deler éi VPN-innlogging, ein av dei sluttar, og den einaste måten å fjerna tilgangen deira på er å endra hemmelegheita som alle andre brukar. Det er det eigenlege problemet, og det krev ikkje Active Directory å løysa. Eit lite kontor kan halda avskilde identitetar i det lokale lageret gatewayen støttar, og likevel handsama avgangar som rutine. Arbeidet ligg i å velja lageret og skriva ned trinna for fjerning før du treng dei.

Start med innloggingsdetaljane kvar person har

List opp kva kvar person koplar til med før du vel ein backend. Éi berbar datamaskin, ein telefon, kanskje ein stasjonær heime, og kvar av dei er ein eigen innloggingsdetalj eller eit eige einingssertifikat. Viss du ikkje kan namngje innloggingsdetaljen ein person har, kan du ikkje fjerna han seinare.

To personar som deler éin profil er tilfellet som gjer kvart neste steg vanskelegare. Fiks det først, for ingen katalog løyser ei delt hemmelegheit.

Vel lageret gatewayen faktisk støttar

Vel identitetslageret gatewayen alt støttar, ikkje det du helst vil drive. Ein gateway med lokal brukardatabase kan halda individuelle kontoar med policy per brukar. Ei IKEv2-utrulling kan knyta ein EAP-identitet til ei bestemd hemmelegheit, føresett at klientmetoden og verifiseringa passar saman. Sertifikatbaserte oppsett kan gje ut eitt sertifikat per eining frå ei felles styresmakt, noko som held tillitsankeret delt medan innloggingsdetaljane blir avskilde.

Plasseringa til lageret tyder mindre enn drifta: registrering, sikkerheitskopi, fornying og tilbakekalling. Viss ingen av dei har eit svar, er valet ikkje ferdig.

Viss gatewayen tilbyr både lokale kontoar og sertifikat, føretrekk det teamet ditt kan driva klokka to om natta utan leverandøren på telefonen. Den preferansen handlar om gjenopprettingstid, ikkje om kva alternativ som er teknisk sterkast.

Skil personen frå einingane

Avgjer kva ein innloggingsdetalj representerer: ein person, ei eining eller begge. Ei berbar datamaskin og ein telefon som høyrer til ein tilsett, er to einingar og ein person, og å mista telefonen bør ikkje nødvendigvis deaktivera den berbare. Skriv ned den modellen, for han avgjer kva fjerning tyder.

Noter eigaren, eininga, utferdingsdatoen og tilbakekallingsvegen for kvar innloggingsdetalj. Oppbevar den registreringa ein stad kontoret kan lesa ho utan personen som sette ho opp. Ein tabell med dei fire kolonnane er nok for seks personar og skalerer framleis til seksti.

Gjer fjerning til ein vanleg operasjon

Skriv avgangsprosedyren før den første avgangen. Deaktiver identiteten, avslutt kvar aktiv økt, og stadfest at tunnelen faktisk fell i staden for å venta på ein timer for reautentisering. Kontroller deretter at den tidlegare innloggingsdetaljen feilar frå ein maskin utanfor kontornettet. Heile sekvensen bør ta minutt og ikkje krevja ny utferding for nokon andre.

sudo swanctl --terminate --ike alice-laptop

Hald på ein administratorgjenopprettingsveg som ikkje er avhengig av den deaktiverte kontoen, og avstem lokale kontoar som seinare flyttar til ein katalog. Målet er enkelt: å fjerna éin person er ei rutineoppgåve, ikkje eit prosjekt som rører profilane til alle andre. Lokal autentisering i Access Server er eitt dokumentert døme på eit lager som passar til denne forma.