Osobne tożsamości VPN dla małego zespołu, bez katalogu

Sześć osób dzieli jedno logowanie VPN, jedna z nich odchodzi, a jedynym sposobem odebrania jej dostępu jest zmiana sekretu, którego używają wszyscy pozostali. To jest prawdziwy problem i nie wymaga Active Directory, by go rozwiązać. Małe biuro może trzymać osobne tożsamości w dowolnym lokalnym magazynie, który obsługuje jego brama, i nadal traktować odejścia jako rutynę. Praca polega na wybraniu magazynu i zapisaniu kroków usuwania, zanim będą potrzebne.

Zacznij od danych logowania, które ma każda osoba

Zanim wybierzesz backend, wypisz, czym łączy się każda osoba. Jeden laptop, telefon, może komputer stacjonarny w domu, a każde z nich to odrębne dane logowania albo odrębny certyfikat urządzenia. Jeśli nie potrafisz nazwać danych logowania, które ma dana osoba, nie usuniesz ich później.

Dwie osoby dzielące jeden profil to przypadek, który utrudnia każdy kolejny krok. Napraw to najpierw, bo żaden katalog nie rozwiązuje wspólnego sekretu.

Wybierz magazyn, który brama naprawdę obsługuje

Wybierz magazyn tożsamości, który brama już obsługuje, a nie ten, który chciałbyś prowadzić. Brama z lokalną bazą użytkowników może trzymać osobne konta z polityką dla każdego użytkownika. Wdrożenie IKEv2 może przypisać tożsamość EAP do konkretnego sekretu, pod warunkiem że metoda klienta i weryfikator pasują do siebie. Konfiguracje oparte na certyfikatach mogą wydać po jednym certyfikacie na urządzenie od wspólnego urzędu, co utrzymuje wspólną kotwicę zaufania, podczas gdy dane logowania pozostają osobne.

Lokalizacja magazynu ma mniejsze znaczenie niż jego operacje: rejestracja, kopia zapasowa, odnowienie i unieważnienie. Jeśli na którąkolwiek z nich nie ma odpowiedzi, wybór nie jest dokończony.

Jeśli brama oferuje zarówno konta lokalne, jak i certyfikaty, wybierz to, co twój zespół potrafi obsłużyć o drugiej w nocy bez dostawcy na telefonie. Ta preferencja dotyczy czasu odzyskania, a nie tego, która opcja jest technicznie mocniejsza.

Oddziel osobę od urządzeń

Zdecyduj, co reprezentują dane logowania: osobę, urządzenie czy jedno i drugie. Laptop i telefon jednego pracownika to dwa urządzenia i jedna osoba, a utrata telefonu nie powinna automatycznie wyłączać laptopa. Zapisz ten model, bo to on określa, co znaczy usunięcie.

Dla każdych danych logowania zapisz właściciela, urządzenie, datę wydania i ścieżkę unieważnienia. Trzymaj ten rejestr tam, gdzie biuro może go przeczytać bez osoby, która go skonfigurowała. Tabela z tymi czterema kolumnami wystarcza dla sześciu osób i wciąż skaluje się do sześćdziesięciu.

Uczyń usuwanie zwykłą operacją

Napisz procedurę odejścia przed pierwszym odejściem. Wyłącz tożsamość, zakończ każdą aktywną sesję i potwierdź, że tunel naprawdę się zrywa, zamiast czekać na timer ponownego uwierzytelnienia. Potem sprawdź, że stare dane logowania zawodzą z maszyny poza siecią biurową. Cała sekwencja powinna zająć minuty i nie wymagać ponownego wydania dla nikogo innego.

sudo swanctl --terminate --ike alice-laptop

Utrzymuj ścieżkę odzyskiwania administratora, która nie zależy od wyłączonego konta, i uzgadniaj konta lokalne, które później trafią do katalogu. Cel jest prosty: usunięcie jednej osoby to rutynowe zadanie, a nie projekt dotykający profili wszystkich innych. Uwierzytelnianie lokalne Access Server jest jednym udokumentowanym przykładem magazynu pasującego do tego kształtu.