ترحيل الواجهة الخلفية للمصادقة على VPN دون إعادة استخدام التجزئات القديمة
نقل هويات VPN قطعٌ لا نسخ: ارسم خريطة سلسلة المصادقة، وانقل مجموعة تجريبية، واختبر تغييرات بيانات الاعتماد، وخطّط لاستعادة لا يلغيها إعادة الضبط.
تظهر أسماء المستخدمين في الدليل الجديد، ويُعلن اكتمال الترحيل، ولا تزال عمليات تسجيل الدخول تفشل. لا تزال البوابة تحتاج مسار مصادقة مدعومًا ونتيجة تخويل صحيحة، ولا شيء منهما ينبع من دليل يحتوي الآن على الحسابات. نقل الواجهة الخلفية قطع له دورة حياة، وليس عملية نسخ. العَرَض أدناه هو ما يكشف الفرق عادة.
العَرَض: الحسابات موجودة والجلسات لا
يحتوي الدليل الجديد على كل اسم مستخدم، وينجح ربط اختباري، ولا يزال عميل VPN يعيد فشل مصادقة. هذه التركيبة تعني أن الهوية موجودة، لكن مسار التحقق الذي تستخدمه البوابة لا يصل إليها، أو يصل إليها بطريقة لا يستطيع تلبيتها. كلاهما إعداد، وهما مشكلتان مختلفتان.
الأولى توصيل: تشير البوابة إلى واجهة خلفية لا تستجيب، أو تستخدم سرًا مشتركًا لا يتوقعه الطرف الآخر، أو تطلب سمة لا يعيدها الخدمة الجديدة. الثانية تعمية: تتطلب الطريقة السر الأصلي، والمخزن الجديد يحتفظ فقط بتجزئة منه. نص الخطأ متشابه في الحالتين، ولهذا تُعالج المشكلتان كمسألة واحدة.
فصل هاتين المسألتين قبل مسّ الحسابات يوفر أسبوعًا. إحداهما مسألة توجيه وثقة، والأخرى قرار بشأن إعادة ضبط بيانات الاعتماد، وخلطهما ينتج تغييرات لا يستطيع أحد إرجاعها إلى سبب.
ارسم خريطة السلسلة قبل نقل أي شخص
اكتب ستة أشياء لكل ملف تعريف عميل: طريقة المصادقة الخارجية، وأي طريقة داخلية، وهوية الخادم التي يتوقعها العميل، والواجهة بين البوابة والواجهة الخلفية، والسمة التي تربطها البوابة بعضوية المجموعة، وسياسة الموارد الناتجة. قراءتها بالترتيب تُظهر الحلقة التي لا يملكها أحد. لكل بند مسؤول، ويفشل القطع عند البند الذي لم يتحقق منه أحد.
| Link | Question it answers |
|---|---|
| Client profile | Which method and server name does the client use? |
| Inner method | Is there a second authentication step? |
| Server identity | Which certificate or name must the client accept? |
| Gateway to backend | Which protocol, port and shared secret? |
| Attribute mapping | Which returned value becomes group membership? |
| Resource policy | What the resulting session may reach |
تسجيل دخول عادي إلى الدليل لا يمر تقريبًا بأي شيء من تلك السلسلة. إنه يثبت وجود الحساب وعمل كلمة المرور، أي الجزء الذي لم يكن موضع شك قط.
التجزئات لا تنتقل بين الطرق
يجب التحقق من توافق بيانات الاعتماد مرة واحدة، قبل انتقال أي مجموعة. يوضح FreeRADIUS الفصل بوضوح: فحص CHAP الذي يجريه الخادم بنفسه يحتاج كلمة المرور الفعلية، وMS-CHAP يقبل تلك الكلمة أو مادة NT مناسبة. التجزئة المنتجة لغرض آخر لا تناسب أيًا من الحالتين، مهما كانت قوية.
الفرق في من يحسب الإثبات. الطريقة التي تتحقق بالربط بالدليل تترك الدليل يفحص ما يستطيع فحصه. الطريقة التي تتحقق بإعادة حساب استجابة التحدي تحتاج السر نفسه، لأن الخادم يجب أن يجري الحساب ذاته.
حيث تنقص المادة، تكون الخيارات الصادقة إعادة ضبط مدعومة، أو إعادة تسجيل، أو خدمة تحقق خارجية، أو تغيير الطريقة. التصدير المؤقت لكلمات المرور القابلة للاستعادة ليس في تلك القائمة. إنه ينشئ مخزن بيانات اعتماد بنص صريح في أكثر أسابيع المشروع فوضى، وعادة ما يعيش بعد الترحيل.
مجموعة تجريبية، ثم تغييرات دورة الحياة
انقل مجموعة صغيرة من الهويات المعتمدة مع العميل الحقيقي، واختبر أربعة أشياء: تسجيل دخول جديد، وبيانات اعتماد خاطئة عمدًا، والموارد التي يجوز للجلسة الوصول إليها، والموارد التي لا يجوز لها ذلك. تحقق أيضًا من هوية الخادم التي قبلها العميل، لأن عدم تطابق اسم الشهادة غير مرئي حتى يقرأ أحد سجل العميل.
ثم جرّب التغييرات التي يعتمد عليها النشر فعليًا. غيّر كلمة مرور، وجدّد شهادة أو أعد تسجيلها، وأزل الوصول من حساب تجريبي واحد. بعد كل منها، أكّد أي مدقق تعامل مع المحاولة، لأن جلسة أُنشئت قبل القطع قد تستمر في العمل ولا تثبت شيئًا عن تسجيل الدخول التالي.
افصل تسليم الملف التعريفي عن تبديل الهوية. تحتاج كل مجموعة ملفها التعريفي المقصود، وحالتها من بيانات الاعتماد أو التسجيل، وخدمة المصادقة التي ينبغي أن تستخدمها، وجهة اتصال للدعم، ولا ينبغي أن يحتوي أي من هذه السجلات على سر.
إذا وُجد المساران القديم والجديد معًا، فحددهما بتاريخ انتهاء. قد يسمح التراجع التلقائي بدخول حساب عبر بيانات اعتماد قديمة بعد أن أزال المالك الجديد الوصول، وهذا تراجع أمني متنكر في هيئة إتاحة.
لا يمكن للتراجع أن يعيد بيانات الاعتماد
عكس القطع يترك الدليل تمامًا كما هو الآن. تبقى كلمة المرور المعاد ضبطها معاد ضبطها، وتبقى الشهادة الملغاة ملغاة، ويبقى تنسيق بيانات الاعتماد المتغير متغيرًا. هذه أحداث في الدليل، ولم تكن البوابة مصدرها قط. يجب تعريف الاستعادة لكل حدث، ولا شيء من ذلك يمكن أن يعتمد على إعادة بناء سر من تجزئة غير متوافقة.
احتفظ بمسار إداري لا يستخدم الاتصال الذي يجري ترحيله. عندما تفشل المصادقة الجديدة، أوقف المجموعة واستخدم مسار الاستعادة الموثق لها بدلًا من إضعاف المصادقة للجميع من أجل الالتزام بموعد.
بعد تغطية المجموعات، اسحب بيانات الاعتماد والملفات التعريفية وعلاقات الثقة القديمة للواجهة الخلفية عبر أصحابها. أكّد أن المسار القديم لم يعد يسمح بدخول المستخدمين، واحتفظ بتعيين الهوية إلى السياسة الخالي من الأسرار والذي لا تزال الدعم تحتاجه. يكتمل الترحيل عندما تعمل دورة الحياة الجديدة ولا يدخل أحد من المسار القديم بعد الآن، لا عندما تبدو قائمة الحسابات كاملة.