Ротирајте локални VPN налог без губитка његових дозвола

Замена радне VPN лозинке изгледа као промена у два реда, све док се поново изграђени налог не врати са подразумеваним дозволама и једина административна сесија не нестане. Безбедна процедура зависи од тога где је акредитив сачуван и који га протокол користи, а не од тога која је наредба најкраћа. Упоредите два приступа пре него што дотакнете уређај. Ротација на месту чува објекат налога; брисање и поновно креирање га замењује, и све што је на њега показивало одлази с њим.

Пронађите које складиште заиста аутентификује сесију

Почните од профила тунела или везе, а не од базе корисника. Профил наводи метод аутентификације и често серверску групу, а ако та група показује на RADIUS или TACACS+, локално корисничко име на уређају је само украс. Прочитајте листу аутентификације профила и AAA групу на коју упућује пре него што било шта планирате. Само када профил каже локално, налог на уређају је важан. Погрешите ово и ротираћете акредитив који нико не користи, док стварни запис у именику остаје тачно какав је био.

Исти уређај обично држи две популације: администраторе који се пријављују на њега и VPN кориснике који завршавају тунел. Они могу делити складиште и не треба претпостављати да деле.

Ажурирање на месту наспрам брисања и поновног креирања

Ротација на месту мења један атрибут постојећег објекта. Ниво привилегија, чланство у групи, атрибути ауторизације и свака политика која упућује на налог преживљавају, јер ништа није уклоњено. Брисање и поновно креирање поново гради објекат из командне линије, па се свако поље које нисте поновили враћа на подразумевану вредност. На уређају где атрибути по кориснику носе доделе подељеног тунела или адресног скупа, та разлика је цео ризик.

Поновно грађење има једну легитимну употребу: када сам сачувани формат мора да се промени, а платформа не нуди конверзију. Чак и тада прво забележите постојећи запис, јер је текућа конфигурација једини тачан списак онога што је налог носио. Копија те конфигурације узета пре промене боља је од плана враћања написаног по сећању.

Зашто хеш који имате можда није тајна која му је потребна

Формати чувања разликују се на начин који одлучује одговор. Једносмерни хеш може да провери лозинку када је сервер прими у отвореном облику унутар тунела, али метод изазов-одговор тражи саму дељену тајну да би израчунао сажетак. Зато претварање сваког налога у најјачи једносмерни формат може да сломи CHAP или MS-CHAP управо оним корисницима који од њега зависе.

Одлучујте по протоколу, а не по слогану. Где метод захтева обновљиву тајну, тај захтев је ограничење дизајна, а не пропуст који треба очистити.

Сесије које надживе акредитив

Промена акредитива не прекида сесије које су се већ аутентификовале. Партнер са успостављеним тунелом наставља да ради до обнове кључа, поновне аутентификације или изричитог прекида.

Планирајте тај део одвојено и планирајте га пре промене. Ако је акредитив процурео, остављање живих сесија поништава ротацију. Ако је само истекао, присиљавање сваког партнера на ванмрежни рад је прекид који вам није требао. Држите други административни пут отворен док радите, по могућности онај који не зависи од налога који се уређује, јер режим отказа овде уклања ваш приступ тачно када вам треба. Затим проверите нову пријаву и ресурсе до којих може да стигне.

Докажите да су дозволе преживеле

Пријавите се као ротирани корисник и проверите шта сесија даје, не само да се отворила. Стигните до ресурса који захтева ауторизацију коју налог треба да носи и покушајте онај до којег не би требало да стигне. Успешна пријава са суженим или проширеним приступом је неуспешна промена.

Упоредите атрибуте ауторизације у текућој конфигурацији са копијом коју сте узели на почетку. Погледајте чланство у групи, адресни скуп, подешавања DNS-а и подељеног тунела и сваки објекат политике који је именовао налог. Затим ажурирајте запис о томе где тај акредитив живи, јер следећа ротација почиње од те белешке. Ротација коју нико не може да понови из документације само је једном преживљена.