Küçük bir ekip için ayrı VPN kimlikleri, dizin olmadan

Altı kişi tek bir VPN oturum açma bilgisini paylaşıyor, biri ayrılıyor ve erişimini kaldırmanın tek yolu herkesin kullandığı sırrı değiştirmek. Asıl sorun bu ve çözmek için Active Directory gerekmiyor. Küçük bir ofis, ayrı kimlikleri ağ geçidinin desteklediği yerel depoda tutabilir ve ayrılmaları yine de rutin olarak görebilir. İş, depoyu seçmekte ve kaldırma adımlarını ihtiyaç duymadan önce yazmaktadır.

Her kişinin taşıdığı kimlik bilgisiyle başlayın

Arka ucu seçmeden önce her kişinin neyle bağlandığını listeleyin. Bir dizüstü bilgisayar, bir telefon, belki evdeki bir masaüstü, ve bunların her biri ayrı bir kimlik bilgisi ya da ayrı bir cihaz sertifikasıdır. Bir kişinin taşıdığı kimlik bilgisini adlandıramıyorsanız, sonra onu kaldıramazsınız.

Tek bir profili paylaşan iki kişi, sonraki her adımı zorlaştıran durumdur. Önce onu düzeltin, çünkü hiçbir dizin paylaşılan bir sırrı çözmez.

Ağ geçidinin gerçekten desteklediği depoyu seçin

Çalıştırmak istediğiniz depoyu değil, ağ geçidinin zaten desteklediği kimlik deposunu seçin. Yerel kullanıcı veritabanı olan bir ağ geçidi, kullanıcı başına ilkeyle ayrı hesaplar tutabilir. Bir IKEv2 kurulumu, istemci yöntemi ile doğrulayıcı eşleştiği sürece bir EAP kimliğini belirli bir sırra eşleyebilir. Sertifika tabanlı kurulumlar ortak bir otoriteden cihaz başına bir sertifika verebilir; bu, güven çıpasını paylaşılan tutarken kimlik bilgilerini ayrı bırakır.

Deponun konumu işlemlerinden daha az önemlidir: kayıt, yedekleme, yenileme ve iptal. Bunlardan herhangi birinin yanıtı yoksa seçim bitmemiştir.

Ağ geçidi hem yerel hesaplar hem de sertifikalar sunuyorsa, ekibinizin gece ikide satıcıyı telefonda tutmadan işletebileceğini seçin. Bu tercih kurtarma süresiyle ilgilidir, hangi seçeneğin teknik olarak daha güçlü olduğuyla değil.

Kişiyi cihazlardan ayırın

Kimlik bilgisinin neyi temsil ettiğine karar verin: bir kişiyi, bir cihazı ya da ikisini birden. Bir çalışanın dizüstü bilgisayarı ve telefonu iki cihaz ve bir kişidir, telefonun kaybedilmesi dizüstü bilgisayarı zorunlu olarak devre dışı bırakmamalıdır. Bu modeli yazın, çünkü kaldırmanın ne anlama geldiğini o belirler.

Her kimlik bilgisi için sahibi, cihazı, veriliş tarihini ve iptal yolunu kaydedin. Bu kaydı ofisin, kuran kişi olmadan okuyabileceği bir yerde tutun. Bu dört sütunlu bir tablo altı kişi için yeterlidir ve hâlâ altmışa kadar ölçeklenir.

Kaldırmayı olağan bir işlem yapın

İlk ayrılmadan önce ayrılma prosedürünü yazın. Kimliği devre dışı bırakın, etkin her oturumu sonlandırın ve yeniden kimlik doğrulama zamanlayıcısını beklemek yerine tünelin gerçekten düştüğünü doğrulayın. Sonra eski kimlik bilgisinin ofis ağının dışındaki bir makineden başarısız olduğunu kontrol edin. Tüm sıra dakikalar sürmeli ve başka hiç kimse için yeniden düzenleme gerektirmemelidir.

sudo swanctl --terminate --ike alice-laptop

Devre dışı bırakılan hesaba bağlı olmayan bir yönetici kurtarma yolu tutun ve sonradan bir dizine taşınacak yerel hesapları uzlaştırın. Amaç basit: bir kişiyi kaldırmak rutin bir iştir, herkesin profilini etkileyen bir proje değildir. Access Server'ın yerel kimlik doğrulaması bu biçime uyan bir deponun belgelenmiş bir örneğidir.