Zavrtite lokalni račun VPN, ne da bi izgubili njegove pravice

Zamenjava delujočega gesla VPN je videti kot sprememba v dveh vrsticah, dokler se ponovno zgrajeni račun ne vrne s privzetimi pravicami in edina upravljavska seja ne izgine. Varen postopek je odvisen od tega, kje je poverilnica shranjena in kateri protokol jo uporablja, ne od tega, kateri ukaz je najkrajši. Primerjajte oba pristopa, preden se dotaknete naprave. Vrtenje na mestu ohrani objekt računa; brisanje in ponovno ustvarjanje ga nadomesti, in vse, kar je kazalo nanj, gre z njim.

Ugotovite, katera shramba dejansko overi sejo

Začnite pri profilu tunela ali povezave, ne pri uporabniški bazi. Profil navede metodo overjanja in pogosto skupino strežnikov, in če ta skupina kaže na RADIUS ali TACACS+, je lokalno uporabniško ime v napravi le okras. Preden karkoli načrtujete, preberite seznam overjanja profila in skupino AAA, na katero se sklicuje. Šele ko profil pravi lokalno, je račun v napravi pomemben. Če se zmotite, boste zavrteli poverilnico, ki je nihče ne uporablja, medtem ko pravi vnos v imeniku ostane natanko tak, kot je bil.

Ista naprava običajno hrani dve populaciji: skrbnike, ki se vanjo prijavljajo, in uporabnike VPN, ki zaključijo tunel. Lahko si delijo shrambo, in tega ne bi smeli domnevati.

Posodobitev na mestu proti brisanju in ponovnemu ustvarjanju

Vrtenje na mestu spremeni en atribut obstoječega objekta. Raven pravic, članstvo v skupini, atributi avtorizacije in vsaka politika, ki se sklicuje na račun, preživijo, ker ni bilo nič odstranjeno. Brisanje in ponovno ustvarjanje znova zgradi objekt iz ukazne vrstice, zato se vsako polje, ki ga niste ponovili, vrne na privzeto vrednost. V napravi, kjer atributi na uporabnika nosijo dodelitve razdeljenega tunela ali nabora naslovov, je ta razlika celotno tveganje.

Ponovna gradnja ima eno zakonito uporabo: ko je treba spremeniti sam shranjeni format in platforma ne ponuja nobene pretvorbe. Tudi takrat najprej zabeležite obstoječi vnos, ker je delujoča konfiguracija edini natančen seznam tega, kar je račun nosil. Kopija te konfiguracije, vzeta pred spremembo, je boljša od načrta za razveljavitev, napisanega po spominu.

Zakaj zgoščena vrednost, ki jo imate, morda ni tista skrivnost, ki jo potrebuje

Formati shranjevanja se razlikujejo na način, ki odloči odgovor. Enosmerna zgoščena vrednost lahko preveri geslo, ko strežnik prejme v odprti obliki znotraj tunela, vendar metoda izziv-odgovor potrebuje samo skupno skrivnost za izračun povzetka. Zato lahko pretvorba vsakega računa v najmočnejši enosmerni format pokvari CHAP ali MS-CHAP prav tistim uporabnikom, ki so od njega odvisni.

Odločajte se po protokolu, ne po geslu. Kjer metoda zahteva obnovljivo skrivnost, je ta zahteva omejitev zasnove in ne spregled, ki bi ga bilo treba počistiti.

Seje, ki preživijo poverilnico

Sprememba poverilnice ne konča sej, ki so se že overile. Partner z vzpostavljenim tunelom deluje naprej do obnove ključa, ponovnega overjanja ali izrecne prekinitve.

Ta del načrtujte ločeno in ga načrtujte pred spremembo. Če je poverilnica uhajala, ohranjanje živih sej vrtenje izniči. Če je le potekla, je vsiljevanje vsem partnerjem brez povezave prekinitev, ki je niste potrebovali. Med delom imejte odprto drugo upravljavsko pot, po možnosti tisto, ki ni odvisna od računa, ki ga urejate, ker način odpovedi tukaj odvzame dostop prav takrat, ko ga potrebujete. Nato preverite novo prijavo in vire, do katerih lahko seže.

Dokažite, da so pravice preživele

Prijavite se kot zavrten uporabnik in preverite, kaj seja podeli, ne le da se je odprla. Dosezite vir, ki zahteva avtorizacijo, ki naj bi jo račun nosil, in poskusite enega, do katerega ne bi smel seči. Uspešna prijava z zoženim ali razširjenim dostopom je neuspešna sprememba.

Primerjajte atribute avtorizacije v delujoči konfiguraciji s kopijo, ki ste jo vzeli na začetku. Poglejte članstvo v skupini, nabor naslovov, nastavitve DNS in razdeljenega tunela ter vsak objekt politike, ki je imenoval račun. Nato posodobite zapis o tem, kje živi ta poverilnica, ker naslednje vrtenje začne pri tej opombi. Vrtenje, ki ga nihče ne more ponoviti iz dokumentacije, je bilo preživeto le enkrat.