Identitete VPN të veçanta për një ekip të vogël, pa drejtori

Gjashtë persona ndajnë një hyrje VPN, njëri prej tyre largohet, dhe mënyra e vetme për të hequr aksesin e tij është të ndryshohet sekreti që përdorin të gjithë të tjerët. Ky është problemi i vërtetë, dhe nuk kërkon Active Directory për t’u zgjidhur. Një zyrë e vogël mund të mbajë identitete të veçanta në çdo depo lokale që mbështet porta e saj dhe prapëseprapë t’i trajtojë largimet si rutinë. Puna është në zgjedhjen e depos dhe në shkrimin e hapave të heqjes para se t’i duash.

Filloni me kredencialin që mban secili

Renditni me çfarë lidhet secili para se të zgjidhni një backend. Një laptop, një telefon, ndoshta një desktop në shtëpi, dhe secili prej tyre është kredencial i veçantë ose certifikatë e veçantë e pajisjes. Nëse nuk mund të emërtoni kredencialin që mban një person, nuk mund ta hiqni atë më vonë.

Dy persona që ndajnë një profil është rasti që e bën çdo hap tjetër më të vështirë. Rregullojeni atë së pari, sepse asnjë drejtori nuk e zgjidh një sekret të përbashkët.

Zgjidhni depon që porta mbështet vërtet

Zgjidhni depon e identiteteve që porta mbështet tashmë, jo atë që do të dëshironit të drejtonit. Një portë me bazë të dhënash lokale përdoruesish mund të mbajë llogari individuale me politikë për çdo përdorues. Një implementim IKEv2 mund të lidhë një identitet EAP me një sekret të caktuar, me kusht që metoda e klientit dhe verifikuesi të përputhen. Konfigurimet e bazuara në certifikata mund të lëshojnë një certifikatë për pajisje nga një autoritet i përbashkët, çka e mban ankorën e besimit të ndarë ndërsa kredencialet mbeten të veçanta.

Vendndodhja e depos ka më pak rëndësi se operacionet e saj: regjistrimi, kopja rezervë, rinovimi dhe revokimi. Nëse ndonjëra prej tyre nuk ka përgjigje, zgjedhja nuk ka mbaruar.

Nëse porta ofron llogari lokale dhe certifikata, preferoni atë që ekipi juaj mund ta operojë në orën dy të mëngjesit pa furnizuesin në telefon. Kjo preferencë ka të bëjë me kohën e rikuperimit, jo me atë se cili opsion është teknikisht më i fortë.

Ndani personin nga pajisjet

Vendosni çfarë përfaqëson një kredencial: një person, një pajisje apo të dyja. Laptopi dhe telefoni i një punonjësi janë dy pajisje dhe një person, dhe humbja e telefonit nuk duhet domosdoshmërisht ta çaktivizojë laptopin. Shkruani atë model, sepse ai përcakton çfarë do të thotë heqja.

Regjistroni pronarin, pajisjen, datën e lëshimit dhe rrugën e revokimit për çdo kredencial. Mbajeni atë regjistër diku ku zyra mund ta lexojë pa personin që e konfiguroi. Një tabelë me ato katër kolona mjafton për gjashtë persona dhe ende shkallëzohet deri në gjashtëdhjetë.

Bëjeni heqjen një operacion të zakonshëm

Shkruani procedurën e largimit para largimit të parë. Çaktivizoni identitetin, përfundoni çdo sesion aktiv dhe konfirmoni se tuneli me të vërtetë bie në vend që të prisni një kohëmatës riautentifikimi. Më pas kontrolloni se kredenciali i mëparshëm dështon nga një makinë jashtë rrjetit të zyrës. E gjithë sekuenca duhet të zgjasë minuta dhe të mos kërkojë rilëshim për askënd tjetër.

sudo swanctl --terminate --ike alice-laptop

Mbani një rrugë rikuperimi administratori që nuk varet nga llogaria e çaktivizuar, dhe pajtoni llogaritë lokale që më vonë kalojnë në një drejtori. Qëllimi është i thjeshtë: heqja e një personi është detyrë rutinë, jo një projekt që prek profilin e të gjithë të tjerëve. Autentikimi lokal i Access Server është një shembull i dokumentuar i një depoje që përshtatet me këtë formë.