Samostatné VPN identity pre malý tím, bez adresára

Šesť ľudí zdieľa jedno VPN prihlásenie, jeden z nich odíde a jediný spôsob, ako mu odobrať prístup, je zmeniť tajomstvo, ktoré používajú všetci ostatní. To je skutočný problém a na jeho vyriešenie nie je potrebný Active Directory. Malá kancelária môže držať oddelené identity v akomkoľvek miestnom úložisku, ktoré podporuje jej brána, a napriek tomu brať odchody ako rutinu. Práca je vo výbere úložiska a v zapísaní krokov odobratia skôr, než ich budete potrebovať.

Začnite údajom, ktorý má každý

Pred výberom backendu si vypíšte, čím sa každý pripája. Jeden notebook, telefón, možno domáci stolový počítač, a každé z toho je samostatný údaj alebo samostatný certifikát zariadenia. Ak nedokážete pomenovať údaj, ktorý človek má, nedokážete ho neskôr odobrať.

Dvaja ľudia zdieľajúci jeden profil je prípad, ktorý sťažuje každý ďalší krok. Opravte to najskôr, pretože žiadny adresár nerieši zdieľané tajomstvo.

Vyberte úložisko, ktoré brána skutočne podporuje

Vyberte úložisko identít, ktoré brána už podporuje, nie to, ktoré by ste chceli prevádzkovať. Brána s miestnou databázou používateľov môže držať jednotlivé účty so zásadami pre každého používateľa. Nasadenie IKEv2 môže namapovať identitu EAP na konkrétne tajomstvo, ak si metóda klienta a overovateľ zodpovedajú. Riešenia založené na certifikátoch môžu vydať jeden certifikát na zariadenie od spoločnej autority, čo drží kotvu dôvery spoločnú, zatiaľ čo údaje zostávajú oddelené.

Umiestnenie úložiska je menej dôležité ako jeho operácie: zápis, záloha, obnova a odvolanie. Ak na niektorú z nich nie je odpoveď, voľba nie je hotová.

Ak brána ponúka miestne účty aj certifikáty, dajte prednosť tomu, čo váš tím zvládne obsluhovať o druhej ráno bez dodávateľa na telefóne. Táto preferencia sa týka času obnovy, nie toho, ktorá možnosť je technicky silnejšia.

Oddeľte osobu od zariadení

Rozhodnite, čo údaj predstavuje: osobu, zariadenie alebo oboje. Notebook a telefón jedného zamestnanca sú dve zariadenia a jedna osoba a strata telefónu by nemala nevyhnutne vypnúť notebook. Zapíšte ten model, pretože určuje, čo odobratie znamená.

Pri každom údaji zaznamenajte vlastníka, zariadenie, dátum vydania a cestu odvolania. Ten záznam držte tam, kde si ho kancelária môže prečítať bez človeka, ktorý ho nastavil. Tabuľka s týmito štyrmi stĺpcami stačí pre šesť ľudí a stále sa škáluje na šesťdesiat.

Urobte z odobratia bežnú operáciu

Napíšte postup odchodu skôr než prvý odchod. Zakážte identitu, ukončite každú aktívnu reláciu a potvrďte, že tunel skutočne padne, namiesto čakania na časovač opätovného overenia. Potom overte, že starý údaj zlyhá zo stroja mimo kancelárskej siete. Celá postupnosť by mala trvať minúty a nikomu ďalšiemu nevyžadovať nové vydanie.

sudo swanctl --terminate --ike alice-laptop

Zachovajte administratívnu cestu obnovy, ktorá nezávisí od zakázaného účtu, a zosúlaďte miestne účty, ktoré neskôr prejdú do adresára. Cieľ je jednoduchý: odobrať jedného človeka je rutinná úloha, nie projekt, ktorý sa dotýka profilov všetkých ostatných. Miestne overovanie v Access Serveri je jeden zdokumentovaný príklad úložiska, ktoré tomuto tvaru zodpovedá.