Ločene identitete VPN za majhno ekipo, brez imenika

Šest ljudi si deli eno prijavo VPN, eden od njih odide, in edini način, da mu odvzamete dostop, je sprememba skrivnosti, ki jo uporabljajo vsi ostali. To je resnična težava in za njeno rešitev ne potrebujete Active Directory. Majhna pisarna lahko hrani ločene identitete v kateri koli lokalni shrambi, ki jo podpira njen prehod, in odhode vseeno obravnava kot rutino. Delo je v izbiri shrambe in v zapisu korakov odstranitve, preden jih potrebujete.

Začnite s poverilnico, ki jo ima vsak

Preden izberete backend, popišite, s čim se vsak povezuje. En prenosnik, telefon, morda domači namizni računalnik, in vsak od teh je ločena poverilnica ali ločeno potrdilo naprave. Če ne morete poimenovati poverilnice, ki jo ima oseba, je pozneje ne boste mogli odstraniti.

Dve osebi, ki si delita en profil, je primer, ki vsak naslednji korak oteži. Najprej to popravite, ker noben imenik ne reši deljene skrivnosti.

Izberite shrambo, ki jo prehod resnično podpira

Izberite shrambo identitet, ki jo prehod že podpira, ne tiste, ki bi jo radi poganjali. Prehod z lokalno bazo uporabnikov lahko hrani posamezne račune s pravilnikom za vsakega uporabnika. Uvedba IKEv2 lahko preslika identiteto EAP v določeno skrivnost, če se metoda odjemalca in preverjevalnik ujemata. Rešitve s potrdili lahko izdajo po eno potrdilo na napravo od skupnega organa, kar ohranja sidro zaupanja skupno, medtem ko poverilnice ostajajo ločene.

Lokacija shrambe je manj pomembna od njenih operacij: vpisa, varnostne kopije, podaljšanja in preklica. Če na katero od njih ni odgovora, izbira ni dokončana.

Če prehod ponuja lokalne račune in potrdila, dajte prednost tistemu, kar lahko vaša ekipa upravlja ob dveh zjutraj brez ponudnika na telefonu. Ta prednost se nanaša na čas obnovitve, ne na to, katera možnost je tehnično močnejša.

Ločite osebo od naprav

Odločite, kaj poverilnica predstavlja: osebo, napravo ali oboje. Prenosnik in telefon enega zaposlenega sta dve napravi in ena oseba, in izguba telefona ne bi smela nujno onemogočiti prenosnika. Zapišite ta model, ker določa, kaj pomeni odstranitev.

Za vsako poverilnico zabeležite lastnika, napravo, datum izdaje in pot preklica. To evidenco hranite tam, kjer jo lahko pisarna prebere brez osebe, ki jo je nastavila. Tabela s temi štirimi stolpci zadostuje za šest ljudi in se še vedno razširi na šestdeset.

Odstranitev naredite običajno operacijo

Napišite postopek odhoda pred prvim odhodom. Onemogočite identiteto, končajte vsako aktivno sejo in potrdite, da tunel resnično pade, namesto da bi čakali na časovnik ponovne avtentikacije. Nato preverite, da stara poverilnica ne uspe z naprave zunaj pisarniškega omrežja. Celotno zaporedje naj bi trajalo minute in ne bi smelo zahtevati nove izdaje za nikogar drugega.

sudo swanctl --terminate --ike alice-laptop

Ohranite skrbniško pot obnovitve, ki ni odvisna od onemogočenega računa, in uskladite lokalne račune, ki se pozneje preselijo v imenik. Cilj je preprost: odstraniti eno osebo je rutinska naloga, ne projekt, ki se dotika profilov vseh drugih. Lokalna avtentikacija v Access Serverju je en dokumentiran primer shrambe, ki ustreza tej obliki.