Змініть локальний обліковий запис VPN, не втративши його прав

Заміна робочого пароля VPN виглядає як зміна в два рядки, доки перезібраний обліковий запис не повернеться з правами за замовчуванням і єдина сесія керування не зникне. Безпечна процедура залежить від того, де зберігаються облікові дані й який протокол їх використовує, а не від того, яка команда коротша. Порівняйте два підходи, перш ніж торкатися пристрою. Ротація на місці зберігає об'єкт облікового запису; видалення й повторне створення замінює його, і все, що на нього вказувало, зникає разом із ним.

З'ясуйте, яке сховище насправді автентифікує сесію

Почніть із профілю тунелю або з'єднання, а не з бази даних користувачів. Профіль називає метод автентифікації й часто групу серверів, і якщо ця група вказує на RADIUS або TACACS+, локальне ім'я користувача на пристрої — лише оздоблення. Прочитайте список автентифікації профілю й групу AAA, на яку він посилається, перш ніж щось планувати. Лише коли профіль каже «локально», обліковий запис на пристрої має значення. Помилитеся тут — і зміните облікові дані, якими ніхто не користується, а справжній запис у каталозі залишиться точно таким, яким був.

Один і той самий пристрій зазвичай містить дві популяції: адміністраторів, які входять до нього, і користувачів VPN, які завершують тунель. Вони можуть ділити сховище, і не слід припускати, що так і є.

Оновлення на місці проти видалення й повторного створення

Ротація на місці змінює один атрибут наявного об'єкта. Рівень привілеїв, членство в групах, атрибути авторизації та будь-яка політика, що посилається на обліковий запис, зберігаються, бо нічого не було видалено. Видалення й повторне створення перезбирають об'єкт із командного рядка, тож кожне поле, яке ви не повторили, повертається до значення за замовчуванням. На пристрої, де атрибути для кожного користувача несуть призначення роздільного тунелю або пулу адрес, ця різниця і є весь ризик.

Перезбирання має одне законне застосування: коли сам збережений формат треба змінити, а платформа не пропонує перетворення. Навіть тоді спершу зафіксуйте наявний запис, бо робоча конфігурація — це єдиний точний перелік того, що ніс обліковий запис. Копія цієї конфігурації, знята до зміни, краща за план відкату, написаний з пам'яті.

Чому наявний у вас хеш може бути не тим секретом, який потрібен

Формати зберігання різняться так, що це вирішує відповідь. Однобічний хеш може перевірити пароль, коли сервер отримує його у відкритому вигляді всередині тунелю, але методу запит-відповідь потрібен сам спільний секрет, щоб обчислити дайджест. Тому переведення кожного облікового запису в найстійкіший однобічний формат може зламати CHAP або MS-CHAP саме тим користувачам, які від нього залежать.

Вирішуйте за протоколом, а не за гаслом. Там, де метод вимагає відновлюваного секрету, ця вимога є обмеженням проєкту, а не недоглядом, який треба вичистити.

Сесії, які переживають облікові дані

Зміна облікових даних не завершує сесії, які вже автентифікувалися. Партнер зі встановленим тунелем продовжує працювати до оновлення ключа, повторної автентифікації або явного від'єднання.

Плануйте цю частину окремо й плануйте її до зміни. Якщо облікові дані витекли, залишені живими сесії зводять ротацію нанівець. Якщо вони просто застаріли, примусове від'єднання кожного партнера — це простій, якого вам не потрібно. Тримайте відкритим другий шлях адміністрування, поки працюєте, бажано такий, що не залежить від редагованого облікового запису, бо тутешній режим відмови забирає доступ саме тоді, коли він потрібен. Потім перевірте новий вхід і ресурси, до яких він може дістатися.

Доведіть, що права збереглися

Увійдіть як змінений користувач і перевірте, що дає сесія, а не лише що вона відкрилася. Дістаньтеся ресурсу, який вимагає авторизації, що має належати обліковому запису, і спробуйте той, до якого він не повинен дістатися. Успішний вхід зі звуженим або розширеним доступом — це невдала зміна.

Порівняйте атрибути авторизації в робочій конфігурації з копією, знятою на початку. Подивіться на членство в групах, пул адрес, налаштування DNS і роздільного тунелю та будь-який об'єкт політики, що називав обліковий запис. Потім оновіть запис про те, де живуть ці облікові дані, бо наступна ротація починається з цієї нотатки. Ротація, яку ніхто не може повторити за документацією, була пережита лише один раз.