Окремі VPN-ідентичності для невеликої команди, без каталогу

Шість людей користуються одним входом у VPN, один із них іде, і єдиний спосіб забрати його доступ — змінити секрет, яким користуються всі інші. Це і є справжня проблема, і для її вирішення не потрібен Active Directory. Невеликий офіс може тримати окремі ідентичності в будь-якому локальному сховищі, яке підтримує його шлюз, і все одно вважати вихід звичайною справою. Робота в тому, щоб вибрати сховище і записати кроки видалення до того, як вони знадобляться.

Почніть з облікових даних, які має кожен

Перш ніж вибирати бекенд, перелічіть, з чим підключається кожна людина. Один ноутбук, телефон, можливо домашній настільний комп'ютер, і кожне з цього — окремі облікові дані або окремий сертифікат пристрою. Якщо ви не можете назвати облікові дані, які має людина, ви не зможете їх потім видалити.

Дві людини, які ділять один профіль, — це випадок, який ускладнює кожен наступний крок. Виправте це першим, бо жоден каталог не вирішує спільний секрет.

Виберіть сховище, яке шлюз справді підтримує

Виберіть сховище ідентичностей, яке шлюз уже підтримує, а не те, яке ви хотіли б вести. Шлюз із локальною базою користувачів може тримати окремі облікові записи з політикою для кожного користувача. Розгортання IKEv2 може зіставити ідентичність EAP з конкретним секретом, за умови що метод клієнта і перевіряльник збігаються. Рішення на сертифікатах можуть видавати по одному сертифікату на пристрій від спільного центру, що зберігає спільний якір довіри, поки облікові дані залишаються окремими.

Розташування сховища менш важливе, ніж його операції: реєстрація, резервне копіювання, поновлення і відкликання. Якщо на якусь із них немає відповіді, вибір не завершено.

Якщо шлюз пропонує і локальні записи, і сертифікати, віддайте перевагу тому, що ваша команда зможе обслуговувати о другій годині ночі без постачальника на телефоні. Ця перевага про час відновлення, а не про те, який варіант технічно сильніший.

Відділіть людину від пристроїв

Вирішіть, що являють собою облікові дані: людину, пристрій або і те, і інше. Ноутбук і телефон одного співробітника — це два пристрої і одна людина, і втрата телефона не повинна обов'язково вимикати ноутбук. Запишіть цю модель, бо вона визначає, що означає видалення.

Для кожних облікових даних записуйте власника, пристрій, дату видачі та шлях відкликання. Тримайте цей запис там, де офіс може прочитати його без людини, яка його налаштувала. Таблиці з цими чотирма стовпцями достатньо для шістьох людей, і вона все ще масштабується до шістдесяти.

Зробіть видалення звичайною операцією

Напишіть процедуру виходу до першого виходу. Вимкніть ідентичність, завершіть будь-яку активну сесію і підтвердьте, що тунель справді падає, а не чекайте таймера повторної автентифікації. Потім перевірте, що колишні облікові дані не працюють з машини поза офісною мережею. Уся послідовність має тривати хвилини і не вимагати перевипуску нікому іншому.

sudo swanctl --terminate --ike alice-laptop

Зберігайте шлях відновлення адміністратора, який не залежить від вимкненого запису, і узгоджуйте локальні записи, які згодом перейдуть у каталог. Мета проста: прибрати одну людину — рутинне завдання, а не проєкт, що зачіпає профілі всіх інших. Локальна автентифікація в Access Server — один задокументований приклад сховища, що відповідає цій формі.