Yerel bir VPN hesabını izinlerini kaybetmeden döndürün

Çalışan bir VPN parolasını değiştirmek iki satırlık bir değişiklik gibi görünür, ta ki yeniden oluşturulan hesap varsayılan izinlerle geri dönene ve tek yönetim oturumu kaybolana kadar. Güvenli yordam, kimlik bilgisinin nerede saklandığına ve hangi protokolün onu kullandığına bağlıdır, hangi komutun en kısa olduğuna değil. Cihaza dokunmadan önce iki yaklaşımı karşılaştırın. Yerinde döndürme hesap nesnesini korur; silme ve yeniden oluşturma onu değiştirir ve ona işaret eden her şey onunla gider.

Oturumu gerçekte hangi deposun doğruladığını bulun

Kullanıcı veritabanından değil, tünel veya bağlantı profilinden başlayın. Profil bir kimlik doğrulama yöntemi ve genellikle bir sunucu grubu belirtir; o grup RADIUS veya TACACS+'a işaret ediyorsa, cihazdaki yerel kullanıcı adı yalnızca süslemedir. Herhangi bir şey planlamadan önce profilin kimlik doğrulama listesini ve başvurduğu AAA grubunu okuyun. Cihazdaki hesap yalnızca profil yerel dediğinde önemlidir. Bunu yanlış yaparsanız kimsenin kullanmadığı bir kimlik bilgisini döndürürsünüz, gerçek dizin kaydı ise tam olarak olduğu gibi kalır.

Aynı cihaz genellikle iki nüfus barındırır: cihaza giriş yapan yöneticiler ve tüneli sonlandıran VPN kullanıcıları. Bir depoyu paylaşabilirler ve paylaştıkları varsayılmamalıdır.

Yerinde güncelleme ile silme ve yeniden oluşturma

Yerinde döndürme mevcut bir nesnenin tek bir özniteliğini değiştirir. Ayrıcalık düzeyi, grup üyeliği, yetkilendirme öznitelikleri ve hesaba başvuran herhangi bir ilke, hiçbir şey kaldırılmadığı için hayatta kalır. Silme ve yeniden oluşturma nesneyi komut satırından yeniden kurar, böylece yinelemediğiniz her alan varsayılan değerine döner. Kullanıcı başına özniteliklerin bölünmüş tünel veya adres havuzu atamaları taşıdığı bir cihazda, bu fark tüm risktir.

Yeniden oluşturmanın tek meşru kullanımı vardır: saklanan biçimin kendisi değişmek zorunda olduğunda ve platform herhangi bir dönüştürme sunmadığında. O zaman bile önce mevcut kaydı yakalayın, çünkü çalışan yapılandırma hesabın ne taşıdığının tek doğru envanteridir. Değişiklikten önce alınan o yapılandırmanın kopyası, ezberden yazılmış bir geri alma planından daha iyidir.

Sahip olduğunuz hash, ihtiyaç duyduğu sır olmayabilir

Saklama biçimleri yanıtı belirleyen şekilde farklıdır. Tek yönlü bir hash, sunucu parolayı tünelin içinde açık olarak aldığında onu doğrulayabilir, ancak bir meydan okuma-yanıt yöntemi özeti hesaplamak için paylaşılan sırrın kendisine ihtiyaç duyar. Bu nedenle her hesabı en güçlü tek yönlü biçime dönüştürmek, CHAP veya MS-CHAP'ı tam olarak ona bağımlı kullanıcılar için bozabilir.

Slogana göre değil, protokole göre karar verin. Yöntemin kurtarılabilir bir sır gerektirdiği yerde, bu gereklilik tasarım üzerinde bir kısıtlamadır, temizlenmesi gereken bir ihmal değildir.

Kimlik bilgisinden daha uzun yaşayan oturumlar

Bir kimlik bilgisini değiştirmek, zaten kimliği doğrulanmış oturumları sonlandırmaz. Kurulu bir tünele sahip eş, anahtar yenilenmesine, yeniden kimlik doğrulamaya veya açık bir bağlantı kesilmesine kadar çalışmaya devam eder.

O kısmı ayrı planlayın ve değişiklikten önce planlayın. Kimlik bilgisi sızdıysa, canlı oturumları çalışır bırakmak döndürmeyi anlamsız kılar. Yalnızca süresi dolduysa, her eşi çevrimdışı olmaya zorlamak ihtiyacınız olmayan bir kesintidir. Çalışırken ikinci bir yönetim yolunu açık tutun, tercihen düzenlenen hesaba bağlı olmayan birini, çünkü buradaki arıza modu erişiminizi tam da ihtiyaç duyduğunuz anda kaldırır. Ardından yeni bir oturum açmayı ve erişebildiği kaynakları doğrulayın.

İzinlerin hayatta kaldığını kanıtlayın

Döndürülmüş kullanıcı olarak oturum açın ve oturumun ne verdiğini kontrol edin, sadece açıldığını değil. Hesabın taşıması gereken yetkilendirmeyi gerektiren bir kaynağa ulaşın ve ulaşmaması gereken birini deneyin. Daraltılmış veya genişletilmiş erişimle başarılı bir oturum açma, başarısız bir değişikliktir.

Çalışan yapılandırmadaki yetkilendirme özniteliklerini başlangıçta aldığınız kopyayla karşılaştırın. Grup üyeliğine, adres havuzuna, DNS ve bölünmüş tünel ayarlarına ve hesabı adlandıran herhangi bir ilke nesnesine bakın. Ardından o kimlik bilgisinin nerede yaşadığına dair kaydı güncelleyin, çünkü sonraki döndürme o nottan başlar. Hiç kimsenin belgelerden yineleyemediği bir döndürme yalnızca bir kez atlatılmıştır.