Hiwalay na pagkakakilanlan ng VPN para sa maliit na team, walang direktoryo

Anim na tao ang nagbabahagi ng isang login ng VPN, umalis ang isa sa kanila, at ang tanging paraan para alisin ang kanyang access ay palitan ang sikretong ginagamit ng lahat ng iba. Iyon ang tunay na problema, at hindi ito nangangailangan ng Active Directory para malutas. Maaaring magtago ng hiwalay na pagkakakilanlan ang maliit na opisina sa anumang lokal na imbakan na sinusuportahan ng gateway nito at ituring pa rin na karaniwan ang pag-alis. Nasa pagpili ng imbakan at pagsusulat ng mga hakbang sa pag-alis bago kailanganin ang trabaho.

Magsimula sa kredensyal na hawak ng bawat isa

Ilista kung ano ang ginagamit ng bawat tao sa pagkonekta bago pumili ng backend. Isang laptop, isang telepono, marahil isang desktop sa bahay, at ang bawat isa sa mga iyon ay hiwalay na kredensyal o hiwalay na sertipiko ng aparato. Kung hindi mo mapangalanan ang kredensyal na hawak ng isang tao, hindi mo ito maaalis mamaya.

Dalawang taong nagbabahagi ng isang profile ang kaso na nagpapahirap sa bawat susunod na hakbang. Ayusin iyon muna, dahil walang direktoryo ang lumulutas sa pinagsasaluhang sikreto.

Piliin ang imbakan na talagang sinusuportahan ng gateway

Piliin ang imbakan ng pagkakakilanlan na sinusuportahan na ng gateway, hindi ang gusto mong patakbuhin. Ang gateway na may lokal na database ng user ay maaaring magtago ng indibidwal na account na may patakaran sa bawat user. Ang deployment ng IKEv2 ay maaaring mag-ugnay ng pagkakakilanlang EAP sa isang partikular na sikreto, sa kondisyong tugma ang paraan ng kliyente at ang tagapagpatunay. Ang mga setup na nakabatay sa sertipiko ay maaaring maglabas ng isang sertipiko sa bawat aparato mula sa karaniwang awtoridad, na nagpapanatiling pinagsasaluha ang angkla ng pagtitiwala habang hiwalay ang mga kredensyal.

Mas mababa ang kahalagahan ng lokasyon ng imbakan kaysa sa mga operasyon nito: pagpapatala, backup, pag-renew at pagbawi. Kung wala sa alinman sa mga iyon ang sagot, hindi pa tapos ang pagpili.

Kung nag-aalok ang gateway ng lokal na account at sertipiko, piliin ang kayang patakbuhin ng iyong team sa ikalawa ng madaling-araw nang walang vendor sa telepono. Ang kagustuhang iyon ay tungkol sa oras ng pagbawi, hindi sa kung aling opsyon ang mas matibay sa teknikal.

Ihiwalay ang tao sa mga aparato

Magpasya kung ano ang kinakatawan ng kredensyal: isang tao, isang aparato, o pareho. Ang laptop at telepono ng isang empleyado ay dalawang aparato at isang tao, at ang pagkawala ng telepono ay hindi dapat laging mag-disable ng laptop. Isulat ang modelong iyon, dahil ito ang tumutukoy kung ano ang ibig sabihin ng pag-alis.

Itala ang may-ari, aparato, petsa ng pag-isyu at landas ng pagbawi para sa bawat kredensyal. Itago ang talaang iyon sa lugar kung saan mababasa ito ng opisina nang wala ang taong nag-set up nito. Ang talahanayang may apat na kolum na iyon ay sapat para sa anim na tao at umaabot pa rin hanggang animnapu.

Gawing karaniwang operasyon ang pag-alis

Isulat ang pamamaraan ng pag-alis bago ang unang pag-alis. I-disable ang pagkakakilanlan, tapusin ang anumang aktibong sesyon, at tiyakin na talagang bumabagsak ang tunnel sa halip na maghintay ng timer ng muling pagpapatunay. Pagkatapos, tiyakin na nabigo ang dating kredensyal mula sa makina sa labas ng network ng opisina. Ang buong pagkakasunod-sunod ay dapat tumagal ng ilang minuto at hindi mangailangan ng muling pag-isyu para sa iba.

sudo swanctl --terminate --ike alice-laptop

Panatilihin ang landas ng pagbawi ng administrator na hindi umaasa sa na-disable na account, at iayon ang mga lokal na account na lilipat sa direktoryo sa hinaharap. Simple ang layunin: ang pag-alis ng isang tao ay karaniwang gawain, hindi isang proyektong humahawak sa profile ng lahat. Ang lokal na pagpapatunay ng Access Server ay isang dokumentadong halimbawa ng imbakan na umaangkop sa hugis na ito.