Danh tính VPN riêng cho một nhóm nhỏ, không cần thư mục

Sáu người dùng chung một lần đăng nhập VPN, một người trong số họ rời đi, và cách duy nhất để thu hồi quyền truy cập của người đó là đổi bí mật mà mọi người khác dùng. Đó mới là vấn đề thật sự, và nó không cần Active Directory để giải quyết. Một văn phòng nhỏ có thể giữ các danh tính riêng trong bất kỳ kho cục bộ nào mà cổng kết nối của mình hỗ trợ và vẫn coi việc rời đi là chuyện bình thường. Công việc nằm ở việc chọn kho và ghi lại các bước thu hồi trước khi cần đến.

Bắt đầu từ thông tin đăng nhập mỗi người có

Hãy liệt kê mỗi người kết nối bằng gì trước khi chọn backend. Một laptop, một điện thoại, có thể một máy để bàn ở nhà, và mỗi thứ trong đó là một thông tin đăng nhập riêng hoặc một chứng chỉ thiết bị riêng. Nếu bạn không thể gọi tên thông tin đăng nhập mà một người có, bạn sẽ không thể thu hồi nó sau này.

Hai người dùng chung một hồ sơ là trường hợp khiến mọi bước tiếp theo khó hơn. Hãy sửa điều đó trước, vì không thư mục nào giải quyết được một bí mật dùng chung.

Chọn kho mà cổng kết nối thực sự hỗ trợ

Hãy chọn kho danh tính mà cổng kết nối đã hỗ trợ, không phải kho bạn muốn vận hành. Một cổng có cơ sở dữ liệu người dùng cục bộ có thể giữ các tài khoản riêng với chính sách cho từng người. Một triển khai IKEv2 có thể ánh xạ danh tính EAP tới một bí mật cụ thể, miễn là phương thức của máy khách và bộ xác minh khớp nhau. Các cấu hình dựa trên chứng chỉ có thể phát một chứng chỉ cho mỗi thiết bị từ một tổ chức chung, điều này giữ neo tin cậy dùng chung trong khi thông tin đăng nhập vẫn riêng biệt.

Vị trí của kho ít quan trọng hơn các thao tác của nó: đăng ký, sao lưu, gia hạn và thu hồi. Nếu một trong số đó không có câu trả lời, lựa chọn chưa hoàn tất.

Nếu cổng kết nối cung cấp cả tài khoản cục bộ và chứng chỉ, hãy chọn thứ mà nhóm của bạn có thể vận hành lúc hai giờ sáng mà không cần nhà cung cấp trên điện thoại. Sở thích đó liên quan đến thời gian khôi phục, không phải việc lựa chọn nào mạnh hơn về kỹ thuật.

Tách con người khỏi thiết bị

Hãy quyết định thông tin đăng nhập đại diện cho điều gì: một người, một thiết bị, hay cả hai. Laptop và điện thoại của một nhân viên là hai thiết bị và một người, và việc mất điện thoại không nhất thiết phải vô hiệu hóa laptop. Hãy viết mô hình đó ra, vì nó quyết định việc thu hồi nghĩa là gì.

Ghi lại chủ sở hữu, thiết bị, ngày cấp và đường thu hồi cho từng thông tin đăng nhập. Giữ bản ghi đó ở nơi văn phòng có thể đọc mà không cần người đã thiết lập. Một bảng với bốn cột đó là đủ cho sáu người và vẫn mở rộng tới sáu mươi.

Biến việc thu hồi thành thao tác thường ngày

Hãy viết quy trình rời đi trước lần rời đi đầu tiên. Vô hiệu hóa danh tính, kết thúc mọi phiên đang hoạt động, và xác nhận rằng đường hầm thực sự sụp thay vì chờ bộ đếm thời gian xác thực lại. Sau đó kiểm tra rằng thông tin đăng nhập cũ thất bại từ một máy ngoài mạng văn phòng. Toàn bộ trình tự nên mất vài phút và không đòi hỏi cấp lại cho bất kỳ ai khác.

sudo swanctl --terminate --ike alice-laptop

Giữ một đường khôi phục của quản trị viên không phụ thuộc vào tài khoản đã bị vô hiệu hóa, và đối soát các tài khoản cục bộ mà sau này chuyển sang thư mục. Mục tiêu rất đơn giản: thu hồi một người là việc thường ngày, không phải dự án động đến hồ sơ của mọi người khác. Xác thực cục bộ của Access Server là một ví dụ được ghi lại về một kho phù hợp với hình thức này.