VPN autentifikasiya backend'ini köhnə heşləri təkrar istifadə etmədən köçürmək

İstifadəçi adları yeni kataloqda görünür, miqrasiya bitmiş elan olunur və girişlər yenə də alınmır. Şlüz hələ də dəstəklənən autentifikasiya yolu və düzgün avtorizasiya nəticəsi tələb edir və heç biri artıq hesabları saxlayan kataloqdan irəli gəlmir. Backend köçürülməsi həyat dövrü olan keçiddir, kopyalama işi deyil. Aşağıdakı simptom fərqi adətən üzə çıxaran simptomdur.

Simptom: hesablar var, sessiyalar yox

Yeni kataloq hər istifadəçi adını saxlayır, sınaq bağlantısı uğurlu olur və VPN müştərisi yenə də autentifikasiya xətası qaytarır. Bu birləşmə kimliyin mövcud olduğunu, lakin şlüzün istifadə etdiyi yoxlama yolunun ona çatmadığını və ya onu ödəyə bilməyəcəyi üsulla çatdığını bildirir. İkisi də konfiqurasiyadır və bunlar fərqli problemlərdir.

Birincisi kabeldir: şlüz cavab verməyən backend-ə işarə edir, qarşı tərəfin gözləmədiyi ortaq sirri istifadə edir və ya yeni xidmətin qaytarmadığı atribut istəyir. İkincisi kriptoqrafikdir: üsul ilkin sirri tələb edir, yeni anbar isə yalnız onun heşini saxlayır. Xəta mətni hər iki halda oxşar görünür, buna görə ikisi bir problem kimi qəbul edilir.

Bu ikisini hesablara toxunmadan ayırmaq bir həftəyə qənaət edir. Biri marşrutlaşdırma və etimad məsələsidir, digəri etimadnamələrin sıfırlanması barədə qərardır və onları qarışdırmaq heç kimin aid edə bilmədiyi dəyişikliklər yaradır.

Heç kimi köçürməzdən əvvəl zənciri xəritələyin

Hər müştəri profili üçün altı şey yazın: xarici autentifikasiya üsulu, varsa daxili üsul, müştərinin gözlədiyi server kimliyi, şlüz ilə backend arasındakı interfeys, şlüzün qrup üzvlüyünə xəritələdiyi atribut və bundan irəli gələn resurs siyasəti. Onları ardıcıllıqla oxumaq hansı halqanın sahibi olmadığını göstərir. Hər elementin sahibi var və keçid heç kimin yoxlamadığı elementdə uğursuz olur.

Adi kataloq girişi bu zəncirin demək olar ki, heç birini keçmir. Hesabın mövcud olduğunu və parolun işlədiyini sübut edir, yəni heç vaxt şübhə doğurmayan hissəni.

Heşlər üsullar arasında səyahət etmir

Etimadnamələrin uyğunluğu hər hansı qrup hərəkət etməzdən əvvəl bir dəfə yoxlanmalıdır. FreeRADIUS bölgünü aydın sənədləşdirir: serverin özünün etdiyi CHAP yoxlaması həqiqi parolu tələb edir və MS-CHAP həmin parolu və ya uyğun NT materialını qəbul edir. Başqa məqsəd üçün yaradılmış heş, nə qədər güclü olsa da, iki halın heç birinə uyğun gəlmir.

Fərq sübutu kimin hesablamasındadır. Kataloqa bağlanmaqla yoxlayan üsul kataloqun yoxlaya bildiyini yoxlamasına imkan verir. Çağırış cavabını yenidən hesablayaraq yoxlayan üsul sirrin özünə ehtiyac duyur, çünki server eyni hesablamanı aparmalıdır.

Materialın olmadığı yerdə dürüst seçimlər dəstəklənən sıfırlama, yenidən qeydiyyat, xarici yoxlama xidməti və ya üsul dəyişikliyidir. Bərpa oluna bilən parolların müvəqqəti ixracı bu siyahıda deyil. Layihənin ən xaotik həftəsində açıq mətnli etimadnamə anbarı yaradır və adətən miqrasiyadan sonra da qalır.

Pilot qrup, sonra həyat dövrü dəyişiklikləri

Təsdiqlənmiş kimliklərdən kiçik bir qrupu həqiqi müştəri ilə köçürün və dörd şeyi sınayın: təzə giriş, qəsdən yanlış etimadnamə, sessiyanın çata bildiyi resurslar və çatmamalı olduğu resurslar. Müştərinin qəbul etdiyi server kimliyini də yoxlayın, çünki sertifikat adının uyğunsuzluğu kimsə müştəri jurnalını oxuyana qədər görünməzdir.

Sonra yerləşdirmənin həqiqətən asılı olduğu dəyişiklikləri sınayın. Parolu dəyişin, sertifikatı yeniləyin və ya yenidən qeydə alın və bir pilot hesabdan girişi silin. Hər birindən sonra cəhdi hansı yoxlayıcının emal etdiyini təsdiqləyin, çünki keçiddən əvvəl yaradılmış sessiya işləməyə davam edə bilər və növbəti giriş barədə heç nə sübut etmir.

Profil çatdırılmasını kimlik dəyişikliyindən ayırın. Hər qrupa nəzərdə tutulan profili, etimadnamə və ya qeydiyyat vəziyyəti, istifadə etməli olduğu autentifikasiya xidməti və dəstək əlaqəsi lazımdır və bu qeydlərin heç birində sirr olmamalıdır.

Köhnə və yeni yollar yanaşı mövcuddursa, onları bitmə tarixi ilə məhdudlaşdırın. Avtomatik geri dönüş yeni sahib girişi sildikdən sonra hesabı köhnə etimadnamə ilə içəri buraxa bilər və bu, əlçatanlıq qiyafəsində təhlükəsizlik reqressiyasıdır.

Geri qaytarma etimadnaməni bərpa edə bilməz

Keçidi geri çevirmək kataloqu elə indiki vəziyyətində qoyur. Sıfırlanmış parol sıfırlanmış qalır, ləğv edilmiş sertifikat ləğv edilmiş qalır və dəyişdirilmiş etimadnamə formatı dəyişdirilmiş qalır. Bunlar kataloqda baş verən hadisələrdir və şlüz heç vaxt onların mənbəyi olmamışdır. Bərpa hər hadisə üzrə müəyyən edilməlidir və bunun heç bir hissəsi uyğunsuz heşdən sirrin yenidən qurulmasından asılı ola bilməz.

Köçürülən bağlantını istifadə etməyən inzibati yol saxlayın. Yeni autentifikasiya uğursuz olduqda qrupu dayandırın və son tarixə çatmaq üçün hamı üçün autentifikasiyanı zəiflətmək əvəzinə onun sənədləşdirilmiş bərpa yolundan istifadə edin.

Qruplar əhatə olunduqdan sonra köhnə backend etimadnamələrini, profillərini və etimad münasibətlərini sahibləri vasitəsilə dövriyyədən çıxarın. Köhnə yolun artıq istifadəçiləri içəri buraxmadığını təsdiqləyin və dəstəyin hələ ehtiyac duyduğu sirsiz kimlik-siyasət uyğunlaşdırmasını saxlayın. Miqrasiya yeni həyat dövrü işlədikdə və heç kim köhnə yoldan girə bilmədikdə tamamlanır, hesab siyahısı tam görünəndə deyil.