Identidades VPN individuais para uma equipe pequena, sem diretório

Seis pessoas compartilham um login de VPN, uma delas sai, e a única forma de remover o acesso dela é trocar o segredo que todo mundo usa. Esse é o problema real, e ele não exige Active Directory para ser resolvido. Um escritório pequeno pode manter identidades separadas no armazenamento local que o gateway suportar e ainda tratar as saídas como rotina. O trabalho está em escolher o armazenamento e escrever os passos de remoção antes de precisar deles.

Comece pela credencial que cada pessoa tem

Liste com o que cada pessoa se conecta antes de escolher um backend. Um notebook, um telefone, talvez um desktop em casa, e cada um deles é uma credencial separada ou um certificado de dispositivo separado. Se você não consegue nomear a credencial que uma pessoa tem, não conseguirá removê-la depois.

Duas pessoas compartilhando um perfil é o caso que torna cada passo seguinte mais difícil. Corrija isso primeiro, porque nenhum diretório resolve um segredo compartilhado.

Escolha o armazenamento que o gateway realmente suporta

Escolha o armazenamento de identidades que o gateway já suporta, não o que você gostaria de operar. Um gateway com banco de usuários local pode manter contas individuais com política por usuário. Uma implantação IKEv2 pode mapear uma identidade EAP para um segredo específico, desde que o método do cliente e o verificador coincidam. Configurações baseadas em certificados podem emitir um certificado por dispositivo a partir de uma autoridade comum, o que mantém a âncora de confiança compartilhada enquanto as credenciais permanecem separadas.

A localização do armazenamento importa menos que suas operações: cadastro, backup, renovação e revogação. Se alguma delas não tiver resposta, a escolha não está terminada.

Se o gateway oferece contas locais e certificados, prefira o que sua equipe consegue operar às duas da manhã sem o fornecedor ao telefone. Essa preferência diz respeito ao tempo de recuperação, não a qual opção é tecnicamente mais forte.

Separe a pessoa dos dispositivos

Decida o que uma credencial representa: uma pessoa, um dispositivo ou ambos. Um notebook e um telefone de um mesmo funcionário são dois dispositivos e uma pessoa, e perder o telefone não deveria desativar necessariamente o notebook. Escreva esse modelo, porque ele determina o que a remoção significa.

Registre o proprietário, o dispositivo, a data de emissão e o caminho de revogação de cada credencial. Guarde esse registro em um lugar onde o escritório possa lê-lo sem a pessoa que o configurou. Uma tabela com essas quatro colunas basta para seis pessoas e ainda escala até sessenta.

Faça da remoção uma operação comum

Escreva o procedimento de saída antes da primeira saída. Desative a identidade, encerre qualquer sessão ativa e confirme que o túnel cai de fato em vez de esperar um temporizador de reautenticação. Depois verifique que a credencial anterior falha a partir de uma máquina fora da rede do escritório. Toda a sequência deve levar minutos e não exigir nova emissão para ninguém.

sudo swanctl --terminate --ike alice-laptop

Mantenha um caminho de recuperação de administrador que não dependa da conta desativada e concilie as contas locais que mais tarde forem para um diretório. O objetivo é simples: remover uma pessoa é uma tarefa de rotina, não um projeto que mexe no perfil de todos os outros. A autenticação local do Access Server é um exemplo documentado de armazenamento que se encaixa nesta forma.