小团队的独立 VPN 身份，无需目录服务

六个人共用一个 VPN 登录名，其中一人离职，而移除其访问权的唯一办法是改掉所有人共用的那个密钥。这才是真正的问题，解决它并不需要 Active Directory。小办公室可以在网关支持的任意本地存储里保存彼此独立的身份，同时把离职当作例行事务。工作在于挑选存储，并在真正需要之前把移除步骤写下来。

从每个人手上的凭据开始

在选择后端之前，先列出每个人用什么连接。一台笔记本、一部手机，也许还有家里的台式机，其中每一个都是单独的凭据或单独的设备证书。如果你说不出某人手上是哪份凭据，之后也就无法移除它。

两个人共用一个配置文件正是让后面每一步都变难的情形。先把它修好，因为没有任何目录服务能解决共用密钥的问题。

选网关真正支持的那种存储

要选网关已经支持的身份存储，而不是你想运行的那种。带本地用户数据库的网关可以保存带按用户策略的独立账号。IKEv2 部署可以把 EAP 身份映射到特定密钥，前提是客户端方式与验证方匹配。基于证书的部署可以从同一个机构为每台设备签发一张证书，这样信任锚仍然共享，而凭据各自独立。

存储的位置不如它的运维重要：注册、备份、续期和吊销。这些里任何一项没有答案，选择就还没完成。

如果网关同时提供本地账号和证书，就选团队在凌晨两点、不用打厂商电话也能运维的那一种。这个偏好关乎恢复时间，而不是哪个方案在技术上更强。

把人跟设备分开

先确定一份凭据代表什么：一个人、一台设备，还是两者都有。同一位员工的笔记本和手机是两台设备、一个人，丢了手机不一定就该停掉笔记本。把这个模型写下来，因为它决定了移除意味着什么。

为每一份凭据记下持有人、设备、签发日期和吊销路径。把这份记录放在办公室不需要原配置者也能读到的地方。这样一张四列的表格，对六个人够用，扩展到六十人也仍然够用。

把移除变成常规操作

在第一次离职之前就把离职流程写好。停用该身份、终止所有活动会话，并确认隧道确实断了，而不是等重新认证的计时器。然后从办公室网络之外的机器验证旧凭据会失败。整个流程应当只需几分钟，并且不需要给其他人重新签发。

sudo swanctl --terminate --ike alice-laptop

保留一条不依赖被停用账号的管理员恢复路径，并核对日后迁移到目录服务的本地账号。目标很简单：移除一个人是例行工作，而不是牵动其他所有人配置文件的项目。Access Server 的本地认证就是一份有文档记录的、符合这种形态的存储示例。