Roter en lokal VPN-konto uten å miste tillatelsene

Å erstatte et fungerende VPN-passord ser ut som en endring på to linjer, helt til den gjenoppbygde kontoen kommer tilbake med standardtillatelser og den eneste administrasjonsøkten er borte. Den trygge prosedyren avhenger av hvor legitimasjonen er lagret og hvilken protokoll som bruker den, ikke av hvilken kommando som er kortest. Sammenlign de to tilnærmingene før du rører enheten. Rotasjon på stedet bevarer kontoobjektet; sletting og nyoppretting erstatter det, og alt som pekte på det, forsvinner med det.

Finn ut hvilket lager som faktisk autentiserer økten

Start ved tunnel- eller tilkoblingsprofilen, ikke ved brukerdatabasen. Profilen angir en autentiseringsmetode og ofte en servergruppe, og hvis den gruppen peker på RADIUS eller TACACS+, er det lokale brukernavnet på boksen ren dekorasjon. Les profilens autentiseringsliste og AAA-gruppen den refererer til før du planlegger noe. Bare når profilen sier lokal, betyr kontoen på boksen noe. Tar du feil her, roterer du en legitimasjon ingen bruker, mens den virkelige katalogoppføringen blir nøyaktig som den var.

Den samme enheten huser vanligvis to populasjoner: administratorer som logger på den, og VPN-brukere som avslutter en tunnel. De kan dele et lager, og det bør ikke antas at de gjør det.

Oppdatering på stedet kontra sletting og nyoppretting

Rotasjon på stedet endrer ett attributt på et eksisterende objekt. Privilegienivå, gruppemedlemskap, autorisasjonsattributter og enhver policy som refererer til kontoen, overlever fordi ingenting ble fjernet. Sletting og nyoppretting bygger objektet på nytt fra en kommandolinje, så hvert felt du ikke gjentok, kommer tilbake til standardverdien. På en enhet der attributter per bruker bærer tildelinger av delt tunnel eller adressepool, er den forskjellen hele risikoen.

Gjenoppbygging har én legitim bruk: når selve det lagrede formatet må endres og plattformen ikke tilbyr noen konvertering. Selv da bør du først registrere den eksisterende oppføringen, fordi den kjørende konfigurasjonen er den eneste nøyaktige oversikten over hva kontoen bar. En kopi av den konfigurasjonen tatt før endringen slår en tilbakerullingsplan skrevet fra hukommelsen.

Hvorfor hashen du har kanskje ikke er hemmeligheten den trenger

Lagringsformater skiller seg på en måte som avgjør svaret. En enveis-hash kan verifisere et passord når serveren mottar det i klartekst inne i tunnelen, men en utfordring-svar-metode trenger selve den delte hemmeligheten for å beregne digesten. Derfor kan det å konvertere hver konto til det sterkeste enveisformatet bryte CHAP eller MS-CHAP for nøyaktig de brukerne som er avhengige av det.

Bestem etter protokoll, ikke etter slagord. Der metoden krever en gjenopprettbar hemmelighet, er det kravet en begrensning i designet og ikke en forglemmelse som skal ryddes opp.

Økter som overlever legitimasjonen

Å endre en legitimasjon avslutter ikke økter som allerede er autentisert. En peer med en etablert tunnel fortsetter å virke til nøkkelrotasjon, reautentisering eller en eksplisitt frakobling.

Planlegg den delen separat, og planlegg den før endringen. Hvis legitimasjonen lekket, gjør det rotasjonen meningsløs å la levende økter kjøre. Hvis den bare er utløpt, er det en avbrudd du ikke trengte å tvinge hver peer offline. Hold en andre administrasjonsvei åpen mens du arbeider, helst en som ikke avhenger av kontoen som redigeres, fordi feilmodusen her fjerner tilgangen din nøyaktig når du trenger den. Bekreft deretter en ny pålogging og ressursene den kan nå.

Bevis at tillatelsene overlevde

Logg på som den roterte brukeren og kontroller hva økten gir, ikke bare at den åpnet. Nå en ressurs som krever autorisasjonen kontoen skal bære, og prøv en den ikke skal nå. En vellykket pålogging med innsnevret eller utvidet tilgang er en mislykket endring.

Sammenlign autorisasjonsattributtene i den kjørende konfigurasjonen med kopien du tok i starten. Se på gruppemedlemskap, adressepool, DNS- og delt-tunnel-innstillinger, og ethvert policyobjekt som navnga kontoen. Oppdater deretter registreringen av hvor den legitimasjonen bor, siden neste rotasjon begynner fra den noten. En rotasjon ingen kan gjenta fra dokumentasjonen, er bare overlevd én gang.