Individuelle VPN-identiteter for et lite team, uten katalog

Seks personer deler én VPN-innlogging, en av dem slutter, og den eneste måten å fjerne tilgangen deres på er å endre hemmeligheten alle andre bruker. Det er det egentlige problemet, og det krever ikke Active Directory å løse. Et lite kontor kan holde atskilte identiteter i det lokale lageret gatewayen støtter, og likevel behandle avslutninger som rutine. Arbeidet ligger i å velge lageret og skrive ned trinnene for fjerning før du trenger dem.

Start med innloggingsopplysningene hver person har

List opp hva hver person kobler til med før du velger backend. Én bærbar PC, en telefon, kanskje en stasjonær hjemme, og hver av dem er en egen innloggingsopplysning eller et eget enhetssertifikat. Hvis du ikke kan navngi innloggingsopplysningen en person har, kan du ikke fjerne den senere.

To personer som deler én profil er tilfellet som gjør hvert neste steg vanskeligere. Fiks det først, for ingen katalog løser en delt hemmelighet.

Velg lageret gatewayen faktisk støtter

Velg identitetslageret gatewayen allerede støtter, ikke det du helst vil drive. En gateway med lokal brukerdatabase kan holde individuelle kontoer med policy per bruker. En IKEv2-utrulling kan knytte en EAP-identitet til en bestemt hemmelighet, forutsatt at klientmetoden og verifiseringen passer sammen. Sertifikatbaserte oppsett kan utstede ett sertifikat per enhet fra en felles myndighet, noe som holder tillitsankeret delt mens innloggingsopplysningene forblir atskilte.

Lagerets plassering betyr mindre enn driftet: registrering, sikkerhetskopi, fornyelse og tilbakekalling. Hvis ingen av dem har et svar, er valget ikke ferdig.

Hvis gatewayen tilbyr både lokale kontoer og sertifikater, foretrekk det teamet ditt kan drifte klokken to om natten uten leverandøren på telefonen. Den preferansen handler om gjenopprettingstid, ikke om hvilket alternativ som er teknisk sterkest.

Skill personen fra enhetene

Bestem hva en innloggingsopplysning representerer: en person, en enhet eller begge. En bærbar PC og en telefon som tilhører én ansatt, er to enheter og én person, og å miste telefonen bør ikke nødvendigvis deaktivere den bærbare. Skriv ned den modellen, for den avgjør hva fjerning betyr.

Noter eieren, enheten, utstedelsesdatoen og tilbakekallingsveien for hver innloggingsopplysning. Oppbevar den registreringen et sted kontoret kan lese den uten personen som satte den opp. En tabell med de fire kolonnene er nok for seks personer og skalerer fortsatt til seksti.

Gjør fjerning til en vanlig operasjon

Skriv avgangsprosedyren før den første avgangen. Deaktiver identiteten, avslutt enhver aktiv økt, og bekreft at tunnelen faktisk faller i stedet for å vente på en timer for reautentisering. Kontroller deretter at den tidligere innloggingsopplysningen feiler fra en maskin utenfor kontornettet. Hele sekvensen bør ta minutter og ikke kreve ny utstedelse for noen andre.

sudo swanctl --terminate --ike alice-laptop

Behold en administratorgjenopprettingsvei som ikke avhenger av den deaktiverte kontoen, og avstem lokale kontoer som senere flytter til en katalog. Målet er enkelt: å fjerne én person er en rutineoppgave, ikke et prosjekt som berører alles profiler. Lokal autentisering i Access Server er ett dokumentert eksempel på et lager som passer til denne formen.