ตัวตน VPN แยกสำหรับทีมเล็ก โดยไม่ต้องมีไดเรกทอรี

คนหกคนใช้ VPN ล็อกอินเดียวกัน คนหนึ่งลาออก และวิธีเดียวที่จะถอนสิทธิ์ของเขาคือเปลี่ยนความลับที่ทุกคนใช้ นี่คือปัญหาจริง และไม่ต้องใช้ Active Directory เพื่อแก้ สำนักงานเล็กสามารถเก็บตัวตนแยกในที่เก็บข้อมูลภายในที่เกตเวย์รองรับ และยังถือว่าการลาออกเป็นเรื่องปกติ งานอยู่ที่การเลือกที่เก็บข้อมูลและการเขียนขั้นตอนถอนสิทธิ์ไว้ก่อนจะต้องใช้

เริ่มจากข้อมูลรับรองที่แต่ละคนถืออยู่

ก่อนเลือกแบ็กเอนด์ ให้เขียนว่าทุกคนเชื่อมต่อด้วยอะไร โน้ตบุ๊กหนึ่งเครื่อง โทรศัพท์หนึ่งเครื่อง อาจมีเดสก์ท็อปที่บ้าน และแต่ละอย่างคือข้อมูลรับรองแยกหรือใบรับรองอุปกรณ์แยก ถ้าคุณระบุข้อมูลรับรองที่คนหนึ่งถืออยู่ไม่ได้ คุณก็จะถอนมันไม่ได้ในภายหลัง

คนสองคนที่ใช้โปรไฟล์เดียวกัน คือกรณีที่ทำให้ทุกขั้นตอนถัดไปยากขึ้น แก้เรื่องนี้ก่อน เพราะไม่มีไดเรกทอรีใดแก้ความลับที่แชร์กันได้

เลือกที่เก็บข้อมูลที่เกตเวย์รองรับจริง

เลือกที่เก็บตัวตนที่เกตเวย์รองรับอยู่แล้ว ไม่ใช่ที่ที่คุณอยากรัน เกตเวย์ที่มีฐานข้อมูลผู้ใช้ภายในสามารถเก็บบัญชีแยกพร้อมนโยบายต่อผู้ใช้ได้ การติดตั้ง IKEv2 สามารถแมปตัวตน EAP เข้ากับความลับเฉพาะได้ หากวิธีของไคลเอนต์และตัวตรวจสอบตรงกัน การตั้งค่าที่อิงใบรับรองสามารถออกใบรับรองหนึ่งใบต่ออุปกรณ์จากผู้ออกเดียวกัน ซึ่งทำให้จุดยึดความเชื่อถือใช้ร่วมกันขณะที่ข้อมูลรับรองยังแยกกัน

ตำแหน่งที่เก็บข้อมูลสำคัญน้อยกว่าการดำเนินงาน ได้แก่ การลงทะเบียน การสำรองข้อมูล การต่ออายุ และการเพิกถอน ถ้าข้อใดข้อหนึ่งไม่มีคำตอบ การเลือกก็ยังไม่จบ

ถ้าเกตเวย์มีทั้งบัญชีภายในและใบรับรอง ให้เลือกสิ่งที่ทีมของคุณดูแลได้ตอนตีสองโดยไม่ต้องโทรหาผู้ขาย ซึ่งเป็นเรื่องของเวลากู้คืน ไม่ใช่เรื่องว่าตัวเลือกใดแข็งแกร่งกว่าทางเทคนิค

แยกคนออกจากอุปกรณ์

ตัดสินใจว่าข้อมูลรับรองแทนอะไร คนหนึ่งคน อุปกรณ์หนึ่งเครื่อง หรือทั้งสองอย่าง โน้ตบุ๊กและโทรศัพท์ของพนักงานคนเดียวคือสองอุปกรณ์และหนึ่งคน และการทำโทรศัพท์หายไม่จำเป็นต้องปิดโน้ตบุ๊กเสมอไป เขียนโมเดลนี้ไว้ เพราะมันกำหนดว่าการถอนสิทธิ์หมายถึงอะไร

บันทึกเจ้าของ อุปกรณ์ วันที่ออก และเส้นทางการเพิกถอนของข้อมูลรับรองแต่ละชุด เก็บบันทึกนั้นไว้ที่ที่สำนักงานอ่านได้โดยไม่ต้องมีคนที่ตั้งค่าไว้ ตารางสี่คอลัมน์นั้นเพียงพอสำหรับคนหกคนและยังขยายถึงหกสิบคนได้

ทำให้การถอนสิทธิ์เป็นงานปกติ

เขียนขั้นตอนการลาออกไว้ก่อนการลาออกครั้งแรก ปิดใช้งานตัวตน ยุติเซสชันที่ใช้งานอยู่ และยืนยันว่าอุโมงค์ตัดจริงแทนที่จะรอตัวจับเวลาการยืนยันตัวตนใหม่ จากนั้นตรวจสอบว่าข้อมูลรับรองเดิมล้มเหลวจากเครื่องนอกเครือข่ายสำนักงาน ลำดับทั้งหมดควรใช้เวลาไม่กี่นาทีและไม่ต้องออกใหม่ให้ใครอื่น

sudo swanctl --terminate --ike alice-laptop

เก็บเส้นทางกู้คืนของผู้ดูแลระบบที่ไม่ขึ้นกับบัญชีที่ถูกปิด และกระทบยอดบัญชีภายในที่ภายหลังย้ายไปยังไดเรกทอรี เป้าหมายง่ายมาก การถอนคนหนึ่งคนเป็นงานปกติ ไม่ใช่โครงการที่แตะโปรไฟล์ของคนอื่นทั้งหมด การยืนยันตัวตนภายในของ Access Server เป็นตัวอย่างที่มีเอกสารของที่เก็บข้อมูลที่เข้ากับรูปแบบนี้