Obróć lokalne konto VPN bez utraty jego uprawnień

Zastąpienie działającego hasła VPN wygląda jak zmiana w dwóch liniach, dopóki odbudowane konto nie wróci z domyślnymi uprawnieniami i nie zniknie jedyna sesja administracyjna. Bezpieczna procedura zależy od tego, gdzie przechowywane są poświadczenia i który protokół ich używa, a nie od tego, które polecenie jest najkrótsze. Porównaj oba podejścia, zanim dotkniesz urządzenia. Rotacja w miejscu zachowuje obiekt konta; usunięcie i ponowne utworzenie zastępuje go, a wszystko, co na nie wskazywało, odchodzi razem z nim.

Ustal, który magazyn faktycznie uwierzytelnia sesję

Zacznij od profilu tunelu lub połączenia, a nie od bazy użytkowników. Profil podaje metodę uwierzytelniania i często grupę serwerów, a jeśli ta grupa wskazuje na RADIUS lub TACACS+, lokalna nazwa użytkownika na urządzeniu jest tylko ozdobą. Przeczytaj listę uwierzytelniania profilu i grupę AAA, do której się odwołuje, zanim cokolwiek zaplanujesz. Dopiero gdy profil mówi „lokalnie”, konto na urządzeniu ma znaczenie. Pomyl się i obrócisz poświadczenie, którego nikt nie używa, podczas gdy rzeczywisty wpis w katalogu pozostanie dokładnie taki, jaki był.

To samo urządzenie zwykle przechowuje dwie populacje: administratorów, którzy się do niego logują, oraz użytkowników VPN, którzy kończą tunel. Mogą dzielić magazyn i nie należy tego zakładać.

Aktualizacja w miejscu kontra usunięcie i ponowne utworzenie

Rotacja w miejscu zmienia jeden atrybut istniejącego obiektu. Poziom uprawnień, członkostwo w grupach, atrybuty autoryzacji i wszelkie zasady odwołujące się do konta przetrwają, bo nic nie zostało usunięte. Usunięcie i ponowne utworzenie odbudowuje obiekt z wiersza poleceń, więc każde pole, którego nie powtórzysz, wraca do wartości domyślnej. Na urządzeniu, gdzie atrybuty dla poszczególnych użytkowników niosą przypisania tunelu dzielonego lub puli adresów, ta różnica to całe ryzyko.

Odbudowa ma jedno uzasadnione zastosowanie: gdy sam przechowywany format musi się zmienić, a platforma nie oferuje konwersji. Nawet wtedy najpierw zapisz istniejący wpis, bo działająca konfiguracja jest jedynym dokładnym spisem tego, co nosiło konto. Kopia tej konfiguracji zrobiona przed zmianą jest lepsza niż plan wycofania napisany z pamięci.

Dlaczego hash, który masz, może nie być tym sekretem, którego potrzebuje

Formaty przechowywania różnią się w sposób, który rozstrzyga odpowiedź. Hash jednokierunkowy może zweryfikować hasło, gdy serwer otrzyma je jawnie wewnątrz tunelu, ale metoda wyzwanie-odpowiedź potrzebuje samego wspólnego sekretu, aby obliczyć skrót. Dlatego konwersja każdego konta do najsilniejszego formatu jednokierunkowego może zepsuć CHAP lub MS-CHAP dokładnie tym użytkownikom, którzy na nim polegają.

Decyduj według protokołu, a nie według sloganu. Tam, gdzie metoda wymaga odzyskiwalnego sekretu, to wymaganie jest ograniczeniem projektu, a nie zaniedbaniem do posprzątania.

Sesje, które przeżywają poświadczenie

Zmiana poświadczenia nie kończy sesji, które już się uwierzytelniły. Węzeł z nawiązanym tunelem działa dalej aż do odnowienia klucza, ponownego uwierzytelnienia lub jawnego rozłączenia.

Zaplanuj tę część osobno i zaplanuj ją przed zmianą. Jeśli poświadczenie wyciekło, pozostawienie działających sesji przekreśla rotację. Jeśli tylko wygasło, wymuszanie offline na każdym węźle to przerwa, której nie potrzebowałeś. Podczas pracy trzymaj otwartą drugą ścieżkę administracji, najlepiej taką, która nie zależy od edytowanego konta, bo tryb awarii tutaj odbiera dostęp dokładnie wtedy, gdy go potrzebujesz. Następnie zweryfikuj nowe logowanie i zasoby, do których może dotrzeć.

Udowodnij, że uprawnienia przetrwały

Zaloguj się jako obrócony użytkownik i sprawdź, co daje sesja, a nie tylko że się otworzyła. Dotrzyj do zasobu wymagającego autoryzacji, którą konto powinno nosić, i spróbuj tego, do którego nie powinno dotrzeć. Udane logowanie z zawężonym lub rozszerzonym dostępem to nieudana zmiana.

Porównaj atrybuty autoryzacji w działającej konfiguracji z kopią pobraną na początku. Spójrz na członkostwo w grupach, pulę adresów, ustawienia DNS i tunelu dzielonego oraz każdy obiekt zasad, który nazywał konto. Następnie zaktualizuj zapis o tym, gdzie mieszka to poświadczenie, bo następna rotacja zaczyna się od tej notatki. Rotacja, której nikt nie potrafi powtórzyć z dokumentacji, została przetrwana tylko raz.