Otočte lokálny účet VPN bez straty jeho oprávnení

Nahradenie fungujúceho hesla VPN vyzerá ako zmena na dvoch riadkoch, kým sa prestavaný účet nevráti s predvolenými oprávneniami a jediná správcovská relácia nezmizne. Bezpečný postup závisí od toho, kde je poverenie uložené a ktorý protokol ho používa, nie od toho, ktorý príkaz je najkratší. Porovnajte oba prístupy, skôr než sa dotknete zariadenia. Rotácia na mieste zachováva objekt účtu; vymazanie a opätovné vytvorenie ho nahradí, a všetko, čo naň ukazovalo, ide s ním.

Zistite, ktoré úložisko reláciu skutočne autentifikuje

Začnite pri profile tunela alebo pripojenia, nie pri používateľskej databáze. Profil uvádza metódu overovania a často skupinu serverov, a ak táto skupina ukazuje na RADIUS alebo TACACS+, miestne používateľské meno v zariadení je len ozdoba. Prečítajte si zoznam overovania profilu a skupinu AAA, na ktorú odkazuje, skôr než čokoľvek naplánujete. Až keď profil hovorí lokálne, záleží na účte v zariadení. Ak to pomýlite, otočíte poverenie, ktoré nikto nepoužíva, zatiaľ čo skutočný záznam v adresári zostane presne taký, aký bol.

To isté zariadenie zvyčajne obsahuje dve populácie: správcov, ktorí sa doň prihlasujú, a používateľov VPN, ktorí ukončujú tunel. Môžu zdieľať úložisko a nemalo by sa predpokladať, že ho zdieľajú.

Aktualizácia na mieste versus vymazanie a opätovné vytvorenie

Rotácia na mieste mení jeden atribút existujúceho objektu. Úroveň oprávnení, členstvo v skupine, autorizačné atribúty a akákoľvek politika, ktorá na účet odkazuje, prežijú, pretože nebolo nič odstránené. Vymazanie a opätovné vytvorenie prestaví objekt z príkazového riadku, takže každé pole, ktoré ste nezopakovali, sa vráti na predvolenú hodnotu. V zariadení, kde atribúty pre jednotlivých používateľov nesú priradenia rozdeleného tunela alebo fondu adries, je tento rozdiel celým rizikom.

Prestavba má jedno oprávnené použitie: keď sa musí zmeniť samotný uložený formát a platforma neponúka žiadnu konverziu. Aj vtedy najprv zaznamenajte existujúci záznam, pretože bežiaca konfigurácia je jediným presným zoznamom toho, čo účet niesol. Kópia tejto konfigurácie zhotovená pred zmenou je lepšia ako plán návratu napísaný z pamäti.

Prečo hash, ktorý máte, nemusí byť tajomstvom, ktoré potrebuje

Formáty ukladania sa líšia spôsobom, ktorý rozhoduje odpoveď. Jednosmerný hash dokáže overiť heslo, keď ho server dostane v otvorenej podobe vo vnútri tunela, ale metóda výzva-odpoveď potrebuje samotné zdieľané tajomstvo, aby vypočítala odtlačok. Preto premena každého účtu na najsilnejší jednosmerný formát môže pokaziť CHAP alebo MS-CHAP práve tým používateľom, ktorí na ňom závisia.

Rozhodujte podľa protokolu, nie podľa hesla. Tam, kde metóda vyžaduje obnoviteľné tajomstvo, je táto požiadavka obmedzením návrhu a nie opomenutím, ktoré treba upratať.

Relácie, ktoré prežijú poverenie

Zmena poverenia neukončí relácie, ktoré sa už overili. Partner s nadviazaným tunelom funguje ďalej až do obnovy kľúča, opätovného overenia alebo výslovného odpojenia.

Túto časť naplánujte osobitne a naplánujte ju pred zmenou. Ak poverenie uniklo, ponechanie živých relácií rotáciu marí. Ak len zostarlo, nútenie všetkých partnerov offline je výpadok, ktorý ste nepotrebovali. Počas práce držte otvorenú druhú správcovskú cestu, najlepšie takú, ktorá nezávisí od upravovaného účtu, pretože režim zlyhania tu odoberá prístup práve vtedy, keď ho potrebujete. Potom overte nové prihlásenie a zdroje, ku ktorým sa dostane.

Dokážte, že oprávnenia prežili

Prihláste sa ako otočený používateľ a skontrolujte, čo relácia udeľuje, nielen že sa otvorila. Dostanete sa k zdroju, ktorý vyžaduje autorizáciu, ktorú má účet niesť, a skúste jeden, ku ktorému by sa dostať nemal. Úspešné prihlásenie so zúženým alebo rozšíreným prístupom je neúspešná zmena.

Porovnajte autorizačné atribúty v bežiacej konfigurácii s kópiou, ktorú ste zhotovili na začiatku. Pozrite sa na členstvo v skupine, fond adries, nastavenia DNS a rozdeleného tunela a na akýkoľvek objekt politiky, ktorý účet menoval. Potom aktualizujte záznam o tom, kde toto poverenie žije, pretože ďalšia rotácia začína od tejto poznámky. Rotácia, ktorú nikto nedokáže zopakovať podľa dokumentácie, bola prežitá len raz.