หมุนเวียนบัญชี VPN ภายในเครื่องโดยไม่สูญเสียสิทธิ์

การแทนที่รหัสผ่าน VPN ที่ใช้งานอยู่ดูเหมือนการเปลี่ยนแปลงสองบรรทัด จนกว่าบัญชีที่สร้างใหม่จะกลับมาพร้อมสิทธิ์เริ่มต้นและเซสชันการจัดการเพียงหนึ่งเดียวหายไป ขั้นตอนที่ปลอดภัยขึ้นอยู่กับว่าข้อมูลรับรองถูกเก็บไว้ที่ใดและโปรโตคอลใดใช้ข้อมูลนั้น ไม่ใช่คำสั่งใดสั้นที่สุด เปรียบเทียบสองแนวทางก่อนแตะต้องอุปกรณ์ การหมุนเวียนในที่รักษาออบเจ็กต์บัญชีไว้ ส่วนการลบและสร้างใหม่จะแทนที่มัน และทุกสิ่งที่ชี้มาที่มันจะหายไปด้วย

ค้นหาว่าที่เก็บใดยืนยันเซสชันจริง

เริ่มจากโปรไฟล์อุโมงค์หรือการเชื่อมต่อ ไม่ใช่ฐานข้อมูลผู้ใช้ โปรไฟล์ระบุวิธีการยืนยันตัวตนและมักระบุกลุ่มเซิร์ฟเวอร์ และหากกลุ่มนั้นชี้ไปที่ RADIUS หรือ TACACS+ ชื่อผู้ใช้ภายในเครื่องบนอุปกรณ์ก็เป็นเพียงเครื่องประดับ อ่านรายการยืนยันตัวตนของโปรไฟล์และกลุ่ม AAA ที่อ้างอิงก่อนวางแผนใด ๆ บัญชีบนอุปกรณ์มีความสำคัญก็ต่อเมื่อโปรไฟล์ระบุว่าเป็นภายในเครื่อง ถ้าพลาดเรื่องนี้ คุณจะหมุนเวียนข้อมูลรับรองที่ไม่มีใครใช้ ขณะที่รายการไดเรกทอรีจริงยังคงเหมือนเดิมทุกประการ

อุปกรณ์เดียวกันมักมีสองกลุ่มประชากร คือผู้ดูแลระบบที่เข้าสู่ระบบอุปกรณ์ และผู้ใช้ VPN ที่สิ้นสุดอุโมงค์ พวกเขาอาจใช้ที่เก็บร่วมกัน และไม่ควรสันนิษฐานว่าเป็นเช่นนั้น

การอัปเดตในที่เทียบกับการลบและสร้างใหม่

การหมุนเวียนในที่เปลี่ยนแอตทริบิวต์เดียวของออบเจ็กต์ที่มีอยู่ ระดับสิทธิ์ ความเป็นสมาชิกกลุ่ม แอตทริบิวต์การอนุญาต และนโยบายใด ๆ ที่อ้างอิงบัญชีจะอยู่รอด เพราะไม่มีอะไรถูกลบออก การลบและสร้างใหม่จะสร้างออบเจ็กต์ใหม่จากบรรทัดคำสั่ง ดังนั้นทุกฟิลด์ที่คุณไม่ได้ทำซ้ำจะกลับไปเป็นค่าเริ่มต้น บนอุปกรณ์ที่แอตทริบิวต์รายผู้ใช้มีสิทธิ์กำหนดอุโมงค์แยกหรือพูลที่อยู่ ความแตกต่างนั้นคือความเสี่ยงทั้งหมด

การสร้างใหม่มีประโยชน์ที่ชอบธรรมหนึ่งอย่าง คือเมื่อรูปแบบที่เก็บไว้เองต้องเปลี่ยนและแพลตฟอร์มไม่มีการแปลงใด ๆ แม้ในกรณีนั้น ให้บันทึกรายการที่มีอยู่ก่อน เพราะการกำหนดค่าที่ทำงานอยู่เป็นบัญชีรายการที่แม่นยำเพียงหนึ่งเดียวของสิ่งที่บัญชีเคยมี สำเนาของการกำหนดค่านั้นที่ถ่ายก่อนการเปลี่ยนแปลงดีกว่าแผนย้อนกลับที่เขียนจากความจำ

ทำไมแฮชที่คุณมีอาจไม่ใช่ความลับที่มันต้องการ

รูปแบบการจัดเก็บแตกต่างกันในแบบที่ชี้ขาดคำตอบ แฮชทางเดียวสามารถตรวจสอบรหัสผ่านได้เมื่อเซิร์ฟเวอร์ได้รับในรูปแบบข้อความธรรมดาภายในอุโมงค์ แต่วิธีท้าทาย-ตอบสนองต้องใช้ความลับร่วมเองเพื่อคำนวณไดเจนด์ ดังนั้นการแปลงทุกบัญชีเป็นรูปแบบทางเดียวที่แข็งแกร่งที่สุดอาจทำให้ CHAP หรือ MS-CHAP แตกสำหรับผู้ใช้ที่พึ่งพามันโดยตรง

ตัดสินตามโปรโตคอล ไม่ใช่ตามสโลแกน เมื่อวิธีนั้นต้องการความลับที่กู้คืนได้ ข้อกำหนดนั้นคือข้อจำกัดของการออกแบบ ไม่ใช่ความหลงลืมที่ต้องเก็บกวาด

เซสชันที่อายุยืนกว่าข้อมูลรับรอง

การเปลี่ยนข้อมูลรับรองไม่ได้สิ้นสุดเซสชันที่ยืนยันตัวตนแล้ว เพื่อนร่วมที่มีอุโมงค์ที่สร้างไว้แล้วจะทำงานต่อไปจนถึงการต่ออายุคีย์ การยืนยันตัวตนซ้ำ หรือการตัดการเชื่อมต่ออย่างชัดเจน

วางแผนส่วนนั้นแยกต่างหาก และวางแผนก่อนการเปลี่ยนแปลง หากข้อมูลรับรองรั่วไหล การปล่อยเซสชันที่ยังมีชีวิตอยู่จะทำให้การหมุนเวียนไร้ผล หากมันเพียงหมดอายุ การบังคับให้ทุกเพื่อนร่วมออฟไลน์คือการหยุดชะงักที่คุณไม่จำเป็นต้องมี เก็บเส้นทางการจัดการที่สองไว้เปิดขณะทำงาน ควรเป็นเส้นทางที่ไม่ขึ้นกับบัญชีที่กำลังแก้ไข เพราะโหมดความล้มเหลวตรงนี้จะตัดการเข้าถึงของคุณในเวลาที่คุณต้องการมันพอดี จากนั้นตรวจสอบการลงชื่อเข้าใช้ใหม่และทรัพยากรที่มันเข้าถึงได้

พิสูจน์ว่าสิทธิ์ยังอยู่

ลงชื่อเข้าใช้ในฐานะผู้ใช้ที่หมุนเวียนแล้วและตรวจสอบว่าเซสชันให้อะไร ไม่ใช่แค่ว่ามันเปิดขึ้น เข้าถึงทรัพยากรที่ต้องใช้การอนุญาตที่บัญชีควรมี และลองทรัพยากรที่มันไม่ควรเข้าถึง การลงชื่อเข้าใช้สำเร็จด้วยสิทธิ์ที่แคบลงหรือกว้างขึ้นคือการเปลี่ยนแปลงที่ล้มเหลว

เปรียบเทียบแอตทริบิวต์การอนุญาตในการกำหนดค่าที่ทำงานอยู่กับสำเนาที่คุณถ่ายไว้ตอนเริ่มต้น ดูความเป็นสมาชิกกลุ่ม พูลที่อยู่ การตั้งค่า DNS และอุโมงค์แยก และออบเจ็กต์นโยบายใด ๆ ที่ระบุชื่อบัญชี จากนั้นอัปเดตบันทึกว่าข้อมูลรับรองนั้นอาศัยอยู่ที่ใด เพราะการหมุนเวียนครั้งถัดไปเริ่มจากบันทึกนั้น การหมุนเวียนที่ไม่มีใครทำซ้ำได้จากเอกสารเกิดขึ้นได้เพียงครั้งเดียว