Rode um conta VPN local sem perder as suas permissões

Substituir uma palavra-passe VPN a funcionar parece uma alteração de duas linhas, até a conta reconstruída voltar com permissões predefinidas e a única sessão de gestão ter desaparecido. O procedimento seguro depende de onde a credencial está armazenada e de qual protocolo a consome, não de qual comando é mais curto. Compare as duas abordagens antes de tocar no dispositivo. A rotação no local preserva o objeto da conta; a eliminação e recriação substitui-o, e tudo o que apontava para ele vai com ele.

Descubra qual armazenamento autentica realmente a sessão

Comece pelo perfil do túnel ou da ligação, não pela base de dados de utilizadores. O perfil indica um método de autenticação e muitas vezes um grupo de servidores, e se esse grupo apontar para RADIUS ou TACACS+, o nome de utilizador local no equipamento é mera decoração. Leia a lista de autenticação do perfil e o grupo AAA a que se refere antes de planear seja o que for. Só quando o perfil diz local é que a conta no equipamento importa. Erre isto e rodará uma credencial que ninguém usa, enquanto a entrada real do diretório fica exatamente como estava.

O mesmo dispositivo costuma albergar duas populações: administradores que nele iniciam sessão e utilizadores VPN que terminam um túnel. Podem partilhar um armazenamento, e não se deve presumir que o fazem.

Atualização no local versus eliminar e recriar

A rotação no local altera um único atributo de um objeto existente. O nível de privilégio, a pertença a grupos, os atributos de autorização e qualquer política que referencie a conta sobrevivem, porque nada foi removido. A eliminação e recriação reconstroem o objeto a partir de uma linha de comandos, pelo que cada campo que não repetiu volta ao valor predefinido. Num dispositivo onde os atributos por utilizador transportam atribuições de túnel dividido ou de conjunto de endereços, essa diferença é todo o risco.

A reconstrução tem um uso legítimo: quando o próprio formato armazenado tem de mudar e a plataforma não oferece qualquer conversão. Mesmo então, registe primeiro a entrada existente, porque a configuração em execução é o único inventário exato do que a conta transportava. Uma cópia dessa configuração tirada antes da alteração vale mais do que um plano de reversão escrito de memória.

Porque o hash que tem pode não ser o segredo de que precisa

Os formatos de armazenamento diferem de uma forma que decide a resposta. Um hash de sentido único pode verificar uma palavra-passe quando o servidor a recebe em claro dentro do túnel, mas um método de desafio-resposta precisa do próprio segredo partilhado para calcular o resumo. Por isso, converter todas as contas para o formato de sentido único mais forte pode quebrar CHAP ou MS-CHAP precisamente para os utilizadores que dependem dele.

Decida por protocolo, não por slogan. Onde o método exige um segredo recuperável, esse requisito é uma restrição do desenho e não um descuido a limpar.

Sessões que sobrevivem à credencial

Alterar uma credencial não termina sessões que já se autenticaram. Um par com um túnel estabelecido continua a funcionar até à renovação de chave, reautenticação ou desligação explícita.

Planeie essa parte em separado e planeie-a antes da alteração. Se a credencial se tiver infiltrado, deixar sessões vivas em execução anula a rotação. Se apenas caducou, forçar todos os pares offline é uma interrupção de que não precisava. Mantenha um segundo caminho de administração aberto enquanto trabalha, de preferência um que não dependa da conta que está a ser editada, porque o modo de falha aqui retira-lhe o acesso exatamente quando precisa dele. Depois verifique um início de sessão novo e os recursos a que consegue chegar.

Prove que as permissões sobreviveram

Inicie sessão como o utilizador rodado e verifique o que a sessão concede, não apenas que abriu. Chegue a um recurso que exija a autorização que a conta deve transportar e experimente um a que não deveria chegar. Um início de sessão bem-sucedido com acesso estreitado ou alargado é uma alteração falhada.

Compare os atributos de autorização na configuração em execução com a cópia que tirou no início. Veja a pertença a grupos, o conjunto de endereços, as definições de DNS e de túnel dividido, e qualquer objeto de política que nomeasse a conta. Depois atualize o registo de onde vive essa credencial, porque a próxima rotação começa nessa nota. Uma rotação que ninguém consegue repetir a partir da documentação só foi sobrevivida uma vez.