شهادة VPN لا تحمي وصلة LDAP

تسجيل الدخول عبر VPN الذي يتحقق من بيانات الاعتماد مقابل دليل يتضمن اتصالين شبكيين منفصلين. اتصال المستخدم بالبوابة محمي بشهادة VPN نفسها وبإعدادات البروتوكول. اتصال البوابة بالدليل هو جلسة أخرى بإعدادات TLS خاصة بها ومخزن ثقة خاص بها وأنماط فشل خاصة بها. ولا شيء في الأول يضمن أي شيء في الثاني.

هذا التفاوت هو الآلية الكامنة وراء تسجيل دخول يبدو مشفّرًا ولا يزال يرسل كلمة مرور الربط مكشوفة.

اتصالان، قراران للثقة

الجلسة الخارجية هي ما يراه المستخدم: شهادة مرتبطة باسم مضيف VPN، يتحقق منها العميل، وتحمل تبادل المصادقة. أما الجلسة الداخلية فتعود إلى عميل الدليل داخل البوابة، وهو يفتح اتصاله الخاص ويجري تفاوض TLS أو لا يجريه. كل طرف يتحقق من النظير الذي يخاطبه باستخدام مادة من ملف إعداد مختلف. وتبقى الوصلة الداخلية المساء إعدادها غير مرئية من جهة المستخدم، لأن الوصلة الخارجية تعمل تمامًا كما هو مقصود.

لهذا يكون الفشل صامتًا لا صاخبًا. فالبوابة التي لا تتحقق أبدًا من شهادة الدليل تظل تصادق المستخدمين بشكل صحيح؛ لكنها تصادقهم عبر قناة لم تتحقق منها.

StartTLS و LDAPS، اختيار واعٍ

يفتح StartTLS كـ LDAP عادي ثم يرقّي في المكان نفسه، عادةً على المنفذ 389. أما LDAPS فيبدأ TLS مع الاتصال، عادةً على المنفذ 636. كلاهما مشروع وعلى المحول أن يطابق ما يقدمه الدليل. واشتراط StartTLS يختلف عن تجربته ثم المتابعة عند فشل الترقية، وهذا الفرق تحديدًا هو ما قد تتسرب منه كلمة مرور الربط. اضبط الوضع الصارم، ولا تسمح ببديل غير محمي لربط بكلمة مرور.

ldapsearch -H ldap://dc1.corp.example -ZZ -x -D "CN=VPN Bind,OU=Service Accounts,DC=corp,DC=example" -W -b "DC=corp,DC=example" "(sAMAccountName=example-user)" dn

خيار -ZZ هو جوهر الأمر: يفشل الاستعلام بدلًا من أن يمضي صامتًا دون الترقية. الأسماء والحسابات في ذلك السطر أمثلة فقط. تغطي وثائق OpenLDAP TLS إعدادات الثقة الكامنة خلف ذلك.

أي مخزن ثقة تقرأه مكتبة عميل LDAP؟

تقرأ مكتبة عميل OpenLDAP إعدادات الثقة الخاصة بها، سواء من ملف النظام أو من إعداد خاص بإضافة. وتوجيه CA في VPN ينطبق على نظراء VPN وليس دليلًا على أن مكتبة LDAP تقرأ الملف نفسه. استخدم اسم مضيف الدليل الذي تغطيه الشهادة فعليًا، مع سلسلة الإصدار التي تثق بها المكتبة. وفي Active Directory، انشر شهادة خدمة دليل باستخدام مصادقة الخادم الصحيح بدلًا من الاستنتاج من اسم العرض.

على كل وجهة تجاوز فشل أن تستوفي سياسة الهوية نفسها. وبيئة يُتحقق فيها من الأساسي ولا يُتحقق من الثانوي أسوأ من بيئة بلا تجاوز فشل، لأن المسار الأضعف لا يُكتشف إلا أثناء انقطاع.

حساب الربط يبقى مشكلة منفصلة

حماية النقل لا تقلل مما قد يفعله حساب الربط. نطاق بحث الدليل وتخويل المجموعات وامتيازات حساب الخدمة قرارات منفصلة، وحساب ربط واسع يبقى واسعًا بعد تمكين TLS. استخدم أضيق حساب خدمة وقاعدة بحث تحتاجهما عملية الدمج، وسجّل نقطة النهاية ووضع TLS ومالك الثقة وعملية التجديد مع إعداد VPN.

عندما يظهر عدم تطابق في الشهادة، انشر الشهادة أو السلسلة الصحيحة. وتعطيل التحقق يحوّل عدم تطابق مرئي إلى آخر غير مرئي ويترك علاقة الثقة الثانية دون اختبار.

اتصالان، ومالكان، وتاريخان للتجديد. والفصل بينها في التوثيق هو ما يبقي تسجيل الدخول صادقًا.