Xoay vòng tài khoản VPN cục bộ mà không mất quyền của nó

Thay mật khẩu VPN đang hoạt động trông như một thay đổi hai dòng, cho đến khi tài khoản được dựng lại quay về với quyền mặc định và phiên quản trị duy nhất đã biến mất. Thủ tục an toàn phụ thuộc vào nơi lưu thông tin xác thực và giao thức nào dùng nó, không phụ thuộc vào lệnh nào ngắn nhất. So sánh hai cách tiếp cận trước khi chạm vào thiết bị. Xoay vòng tại chỗ giữ nguyên đối tượng tài khoản; xóa và tạo lại thay thế nó, và mọi thứ từng trỏ tới nó sẽ đi cùng nó.

Tìm ra kho nào thực sự xác thực phiên

Bắt đầu từ hồ sơ đường hầm hoặc kết nối, không từ cơ sở dữ liệu người dùng. Hồ sơ nêu một phương thức xác thực và thường là một nhóm máy chủ, và nếu nhóm đó trỏ tới RADIUS hoặc TACACS+, tên người dùng cục bộ trên thiết bị chỉ là đồ trang trí. Đọc danh sách xác thực của hồ sơ và nhóm AAA mà nó tham chiếu trước khi lên kế hoạch bất cứ điều gì. Chỉ khi hồ sơ nói cục bộ thì tài khoản trên thiết bị mới quan trọng. Sai ở đây và bạn sẽ xoay vòng một thông tin xác thực mà không ai dùng, trong khi mục nhập thư mục thật vẫn y nguyên như cũ.

Cùng một thiết bị thường chứa hai nhóm: quản trị viên đăng nhập vào nó và người dùng VPN kết thúc đường hầm. Họ có thể dùng chung một kho, và không nên giả định là có.

Cập nhật tại chỗ so với xóa và tạo lại

Xoay vòng tại chỗ thay đổi một thuộc tính của một đối tượng hiện có. Cấp đặc quyền, tư cách thành viên nhóm, các thuộc tính ủy quyền và bất kỳ chính sách nào tham chiếu tài khoản đều tồn tại, vì không có gì bị gỡ bỏ. Xóa và tạo lại dựng lại đối tượng từ dòng lệnh, nên mọi trường bạn không lặp lại đều quay về giá trị mặc định. Trên một thiết bị mà thuộc tính theo từng người dùng mang theo chỉ định đường hầm tách hoặc nhóm địa chỉ, sự khác biệt đó chính là toàn bộ rủi ro.

Dựng lại có một cách dùng chính đáng: khi chính định dạng lưu phải thay đổi và nền tảng không cung cấp chuyển đổi nào. Ngay cả khi đó, trước hết hãy ghi lại mục nhập hiện có, vì cấu hình đang chạy là bản kiểm kê chính xác duy nhất về những gì tài khoản mang theo. Một bản sao của cấu hình đó lấy trước khi thay đổi tốt hơn một kế hoạch khôi phục viết từ trí nhớ.

Tại sao hàm băm bạn có thể không phải là bí mật mà nó cần

Các định dạng lưu trữ khác nhau theo cách quyết định câu trả lời. Hàm băm một chiều có thể xác minh mật khẩu khi máy chủ nhận nó ở dạng rõ bên trong đường hầm, nhưng phương thức thử thách-phản hồi cần chính bí mật chia sẻ để tính bản tóm lược. Vì vậy, chuyển mọi tài khoản sang định dạng một chiều mạnh nhất có thể phá CHAP hoặc MS-CHAP đúng với những người dùng phụ thuộc vào nó.

Quyết định theo giao thức, không theo khẩu hiệu. Ở nơi phương thức cần một bí mật có thể khôi phục, yêu cầu đó là một ràng buộc của thiết kế chứ không phải sơ suất cần dọn dẹp.

Các phiên sống lâu hơn thông tin xác thực

Thay đổi thông tin xác thực không chấm dứt các phiên đã xác thực. Một đối tác có đường hầm đã thiết lập tiếp tục hoạt động cho đến khi gia hạn khóa, xác thực lại hoặc ngắt kết nối rõ ràng.

Lên kế hoạch cho phần đó riêng và lên kế hoạch trước khi thay đổi. Nếu thông tin xác thực bị lộ, việc để các phiên sống chạy tiếp làm vô hiệu việc xoay vòng. Nếu nó chỉ hết hạn, việc buộc mọi đối tác ngoại tuyến là một gián đoạn bạn không cần. Giữ một đường quản trị thứ hai mở trong khi làm việc, tốt nhất là đường không phụ thuộc vào tài khoản đang được sửa, vì chế độ lỗi ở đây lấy đi quyền truy cập của bạn đúng lúc bạn cần. Sau đó xác minh một lần đăng nhập mới và các tài nguyên mà nó có thể tiếp cận.

Chứng minh các quyền vẫn còn

Đăng nhập với tư cách người dùng đã xoay vòng và kiểm tra phiên cấp những gì, không chỉ là nó đã mở. Tiếp cận một tài nguyên đòi hỏi quyền mà tài khoản phải mang, và thử một tài nguyên mà nó không nên tiếp cận. Đăng nhập thành công với quyền bị thu hẹp hoặc mở rộng là một thay đổi thất bại.

So sánh các thuộc tính ủy quyền trong cấu hình đang chạy với bản sao bạn đã lấy lúc đầu. Xem tư cách thành viên nhóm, nhóm địa chỉ, cài đặt DNS và đường hầm tách, và bất kỳ đối tượng chính sách nào đã nêu tên tài khoản. Sau đó cập nhật hồ sơ về nơi thông tin xác thực đó sống, vì lần xoay vòng tiếp theo bắt đầu từ ghi chú đó. Một lần xoay vòng mà không ai có thể lặp lại từ tài liệu chỉ mới được vượt qua một lần.