’n VPN-gebruiker registreer: vind eers die eienaar van die identiteit

Iemand vra om VPN-toegang, en die eerste instink is om adduser op die bediener uit te voer. Daardie instink is net in ’n klein groep ontplooiings korrek. Voordat jy enigiets skep, maak die bediener se konfigurasie oop en vind uit watter produk daar loop en waar dit geloofsbriewe valideer, want die rekening kan in ’n produkdatabasis, in ’n identiteitsverskaffer of in die gasheer se eie verifikasieketting woon. Om die verkeerde soort rekening te skep, laat die persoon met ’n werkende aanmelding en geen tonnel nie.

’n Kliëntprofiel wat OpenVPN noem, beskryf die protokol, nie die identiteitstelsel daaronder nie.

Begin by die bediener, nie by adduser nie

Identifiseer eers die produk. Community OpenVPN is die daemon plus watter verifikasie jy ook al daarin ingebou het, terwyl Access Server ’n produk met sy eie gebruikerslaag is. Vra vir die konfigurasie, die eenheidsnaam en die pakketlys, en kyk of daar ’n webkoppelvlak vir gebruikersbestuur bestaan. Kyk dan hoe die ontplooide profiel verwag dat kliënte bewys wie hulle is: ’n sertifikaat, ’n gebruikersnaam en wagwoord, of albei. Daardie antwoord noem die stelsel wat die rekening besit.

Eers daarna beteken die frase om die gebruiker te skep iets. In ’n ontplooiing met slegs sertifikate beteken dit om ’n toestelidentiteit deur die goedgekeurde proses uit te reik, en ’n Unix-aanmelding verander niks. In ’n wagwoordontplooiing beteken dit die backend wat die wagwoord werklik valideer.

Vier backends, vier plekke om die rekening te skep

Access Server se plaaslike verifikasie hou rekeninge in sy eie databasis, so die koppelvlak om hulle te skep behoort aan die produk eerder as aan die gasheer. PAM delegeer validering aan die bedryfstelsel se ketting, en daarom kan ’n plaaslike Unix-rekening deel van inskrywing wees wanneer daardie ketting is wat die diens gekies het. LDAP, RADIUS en SAML skuif validering na ’n eksterne diens, waar voorsiening, wagwoordbeleid en MFA woon. Access Server kan in al vier gevalle steeds per-gebruiker sertifikate en regte hou, en dit is wat die verdeling verwarrend maak.

Kontroleer die effektiewe metode vir hierdie spesifieke gebruiker eerder as die globale standaard. Access Server 2.10 en later kan verskillende verifikasiemetodes per groep of per gebruiker toepas, so ’n standaard van plaaslik bewys nie dat die rekening voor jou plaaslik gevalideer word nie.

Bevoegdheid is ’n aparte besluit

Verifikasie antwoord wie die persoon is; bevoegdheid antwoord wat hulle mag bereik. Hou dit as twee stappe, want ’n suksesvolle aanmelding is nie ’n toekenning nie. Wys die beoogde roetes, hulpbronregte en administratiewe regte doelbewus toe, en bevestig dat onverwante toegang geweier bly. Waar die ontplooiing individuele identiteite ondersteun, reik een per persoon uit eerder as om iemand anders se profiel aan te stuur, want ’n gedeelde profiel kan nie vir een persoon alleen ingetrek word nie.

Die kliëntmateriaal maak ook saak. ’n Outo-aanmeldprofiel en ’n interaktiewe gebruiker-aanmelding verteenwoordig verskillende verifikasieverhoudings, en om een met die ander te ruil verander wat die bediener werklik verifieer.

Toegang intrek is deel van die inskrywing

Skryf drie eienaars neer terwyl die gebruiker geskep word: wie die rekening valideer, wie die VPN-toegang magtig, en watter toestel of profiel die verbinding verteenwoordig. Dit kan drie verskillende stelsels wees, en ’n intrekkingsplan wat net een van hulle noem, laat ’n pad oop. Wanneer die persoon weggaan, verwyder die bevoegdheid by sy eienaar en trek elke uitgereikte geloofsbrief onder sy eienaar in. Om ’n afgelaaide lêer te verwyder is nie intrekking nie, en net so min is om ’n plaaslike inskrywing te verwyder as ’n eksterne identiteit steeds verifieer.

Toets dan die inskrywing soos ’n aanvaller dit sou doen: koppel een keer met die nuwe identiteit, bevestig toegang tot die beoogde hulpbron, en bevestig dat ’n onverwante hulpbron steeds weier. ’n Eerste verbinding wat werk plus ’n negatiewe toets is ’n voltooide inskrywing.

Hou die rekord by die profiel waaraan dit behoort. Die volgende ouditeur sal vra wie gedurende ’n gegewe maand kon koppel, en die antwoord lê in daardie drie eienaars.