Rotera ett lokalt VPN-konto utan att förlora dess behörigheter

Att byta ut ett fungerande VPN-lösenord ser ut som en ändring på två rader, tills det återuppbyggda kontot kommer tillbaka med standardbehörigheter och den enda administrationssessionen är borta. Det säkra förfarandet beror på var autentiseringsuppgiften lagras och vilket protokoll som använder den, inte på vilket kommando som är kortast. Jämför de två metoderna innan du rör enheten. Rotation på plats bevarar kontoobjektet; radering och återskapande ersätter det, och allt som pekade på det försvinner med det.

Ta reda på vilket arkiv som faktiskt autentiserar sessionen

Börja vid tunnel- eller anslutningsprofilen, inte vid användardatabasen. Profilen anger en autentiseringsmetod och ofta en servergrupp, och om den gruppen pekar på RADIUS eller TACACS+, är det lokala användarnamnet på enheten bara dekoration. Läs profilens autentiseringslista och den AAA-grupp den refererar till innan du planerar något. Först när profilen säger lokalt spelar kontot på enheten roll. Gör fel här och du roterar en autentiseringsuppgift som ingen använder, medan den riktiga katalogposten förblir exakt som den var.

Samma enhet hyser vanligtvis två populationer: administratörer som loggar in på den och VPN-användare som avslutar en tunnel. De kan dela ett arkiv, och det bör inte antas att de gör det.

Uppdatering på plats kontra radering och återskapande

Rotation på plats ändrar ett attribut på ett befintligt objekt. Privilegienivå, gruppmedlemskap, auktorisationsattribut och alla policyer som refererar till kontot överlever, eftersom ingenting togs bort. Radering och återskapande bygger upp objektet igen från en kommandorad, så varje fält du inte upprepade kommer tillbaka till sitt standardvärde. På en enhet där attribut per användare bär tilldelningar av delad tunnel eller adresspool är den skillnaden hela risken.

Återuppbyggnad har en legitim användning: när själva det lagrade formatet måste ändras och plattformen inte erbjuder någon konvertering. Även då ska du först registrera den befintliga posten, eftersom den körande konfigurationen är den enda exakta inventeringen av vad kontot bar. En kopia av den konfigurationen tagen före ändringen slår en återställningsplan skriven ur minnet.

Varför hashen du har kanske inte är hemligheten den behöver

Lagringsformat skiljer sig åt på ett sätt som avgör svaret. En enkelriktad hash kan verifiera ett lösenord när servern tar emot det i klartext inne i tunneln, men en utmaning-svar-metod behöver själva den delade hemligheten för att beräkna sammandraget. Därför kan det att konvertera varje konto till det starkaste enkelriktade formatet bryta CHAP eller MS-CHAP för precis de användare som är beroende av det.

Bestäm efter protokoll, inte efter slagord. Där metoden kräver en återställbar hemlighet är det kravet en begränsning i designen och inte en försummelse att städa bort.

Sessioner som överlever autentiseringsuppgiften

Att ändra en autentiseringsuppgift avslutar inte sessioner som redan har autentiserats. En peer med en etablerad tunnel fortsätter att fungera till nyckelrotation, ny autentisering eller en uttrycklig frånkoppling.

Planera den delen separat, och planera den före ändringen. Om autentiseringsuppgiften läckt ut gör det rotationen meningslös att låta levande sessioner köra. Om den bara har gått ut är det ett avbrott du inte behövde att tvinga varje peer offline. Håll en andra administrationsväg öppen medan du arbetar, helst en som inte beror på kontot som redigeras, eftersom felläget här tar bort din åtkomst precis när du behöver den. Verifiera sedan en ny inloggning och de resurser den kan nå.

Bevisa att behörigheterna överlevde

Logga in som den roterade användaren och kontrollera vad sessionen ger, inte bara att den öppnades. Nå en resurs som kräver den auktorisation kontot ska bära, och prova en som det inte borde nå. En lyckad inloggning med minskad eller utökad åtkomst är en misslyckad ändring.

Jämför auktorisationsattributen i den körande konfigurationen med kopian du tog i början. Titta på gruppmedlemskap, adresspool, DNS- och delad-tunnel-inställningar och varje policyobjekt som namngav kontot. Uppdatera sedan registreringen av var den autentiseringsuppgiften bor, eftersom nästa rotation börjar från den anteckningen. En rotation som ingen kan upprepa från dokumentationen har bara överlevts en gång.