Засебни VPN идентитети за мали тим, без именика

Шест људи дели једну VPN пријаву, један од њих одлази, а једини начин да уклоните његов приступ јесте да промените тајну коју користе сви остали. То је стварни проблем и за његово решавање није потребан Active Directory. Мала канцеларија може да држи засебне идентитете у оном локалном складишту које подржава њен gateway и ипак третира одласке као рутину. Посао је у избору складишта и у записивању корака уклањања пре него што вам затребају.

Почните са акредитивом коју свако има

Попишите са чиме се свако повезује пре него што изаберете backend. Један преносни рачунар, телефон, можда кућни стони рачунар, а сваки од њих је засебна акредитива или засебан сертификат уређаја. Ако не можете да именујете акредитиву коју особа има, нећете је касније моћи уклонити.

Две особе које деле један профил случај је који сваки даљи корак чини тежим. Прво то поправите, јер ниједан именик не решава дељену тајну.

Изаберите складиште које gateway заиста подржава

Изаберите складиште идентитета које gateway већ подржава, а не оно које бисте желели да водите. Gateway са локалном базом корисника може да држи појединачне налоге са политиком по кориснику. IKEv2 имплементација може да мапира EAP идентитет на одређену тајну, под условом да се метода клијента и верификатор подударају. Решења заснована на сертификатима могу да издају по један сертификат на уређај од заједничког ауторитета, што сидро поверења држи заједничким док акредитиве остају засебне.

Локација складишта је мање важна од његових операција: уписа, резервне копије, обнове и опозива. Ако на било коју од њих нема одговора, избор није довршен.

Ако gateway нуди и локалне налоге и сертификате, дајте предност ономе што ваш тим може да води у два сата ујутру без добављача на телефону. Та склоност се тиче времена опоравка, а не тога која је опција технички јача.

Одвојте особу од уређаја

Одредите шта акредитива представља: особу, уређај или обоје. Преносни рачунар и телефон који припадају једном запосленом су два уређаја и једна особа, а губитак телефона не мора нужно да онемогући преносни рачунар. Запишите тај модел, јер он одређује шта уклањање значи.

За сваку акредитиву забележите власника, уређај, датум издавања и пут опозива. Држите тај запис негде где канцеларија може да га прочита без особе која га је поставила. Табела са та четири ступца довољна је за шест људи и још се скалира на шездесет.

Учините уклањање уобичајеном операцијом

Напишите процедуру одласка пре првог одласка. Онемогућите идентитет, прекинете сваку активну сесију и потврдите да тунел заиста пада уместо да чекате тајмер поновне аутентификације. Затим проверите да стара акредитива не успева са рачунара изван канцеларијске мреже. Цео след треба да траје неколико минута и не захтева поновно издавање никоме другом.

sudo swanctl --terminate --ike alice-laptop

Задржите администраторски пут опоравка који не зависи од онемогућеног налога и ускладите локалне налоге који касније пређу у именик. Циљ је једноставан: уклонити једну особу рутински је задатак, а не пројекат који дира профиле свих осталих. Локална аутентификација у Access Server-у један је документован пример складишта које одговара овом облику.