Xidmət hesabının VPN girişi: sertifikat, yoxsa ümumi giriş
Nəzarətsiz VPN girişi üçün maşın sertifikatını saxlanılan parolla müqayisə edin və əsl icazə həddini girişdən sonra işləyən siyasətə qoyun.
Demək olar ki, hər nəzarətsiz VPN quraşdırmasını iki dizayn əhatə edir: skriptdə saxlanılan ümumi insan girişi və ya hosta bağlanmış maşın sertifikatı. Onlar müxtəlif yerlərdə uğursuz olur və bu, quraşdırma sürətindən daha vacibdir. Saxlanılan parol sahibi onu dəyişəndə və ya ayrılanda pozulur; sertifikat isə vaxtı bitəndə və ya host açar olmadan yenidən qurulanda pozulur. Hansı xərci daşıya biləcəyinizi üç şərt həll edir və avtorizasiya siyasəti bunu etməyincə heç bir dizayn heç nəyi məhdudlaşdırmır.
Hesabdan deyil, tapşırıqdan başlayın
Tapşırıq sərhədi müəyyən edir: hansı təyinatlar, hansı xidmətlər, hansı saatlar, sessiya nə qədər davam edə bilər. Tunel marşrutu bu sərhədin yalnız yarısıdır. Şlüz sessiyaya icazə verilib-verilmədiyini həll edir; arxasındakı resurs sessiyanın nə edə biləcəyini həll edir. Siyahını əvvəlcə adı çəkilən sahiblə yazın, çünki hər iki kimlik dizaynı ona cavab verməlidir.
Bunu yazarkən autentifikasiya ilə avtorizasiyanı ayrı saxlayın. Autentifikasiya kimin qoşulduğunu cavablandırır; avtorizasiya sessiyanın sonra hara çata biləcəyini cavablandırır. RADIUS ikinci hissəni Filter-Id, Framed-IP-Address, Session-Timeout və Class kimi atributlar kimi daşıyır və şlüz onları giriş uğurlu olduqdan sonra birləşdirir. Girişi dəyişdirib avtorizasiyaya toxunmayan dizayn heç nəyi məhdudlaşdırmayıb.
Ümumi insan girişi: parol sərhədə çevrilir
İnsan hesabını təkrar istifadə etmək ən sürətli yoldur və ən pis qocalan yoldur. Etibarnamə paroldur, ona görə də skriptə, mühit faylına və planlaşdırıcı konfiqurasiyasına düşür və hər surətin rotasiyaya ehtiyacı var. Sahibi onu cümə günü dəyişəndə tapşırıq növbəti işə salınmada uğursuz olur və heç kim izləmir.
MFA bu dizaynın adətən çökdüyü yerdir. Skript push sorğusuna cavab verə bilməz, ona görə hesab siyasətdən çıxarılır və bu, hücumçunun seçəcəyi hesabın özüdür. İstisnalar, etibarlı məkan keçidləri və hesab üzrə azadolmalar çoxalır və heç biri kirayəçi parametrlərini oxuyan növbəti şəxsə görünmür.
Digər xərc aidiyyətdir. Şlüz jurnalındakı hər sessiya eyni istifadəçi adını daşıyır, ona görə gecə sinxronizasiyasını onu yazan şəxsin işindən ayırmaq mümkün deyil və tapşırığı ləğv etmək həmin şəxsi ləğv etmək deməkdir.
Maşın sertifikatı: hosta bağlanmış kimlik
Sertifikat sualı hesabın nə bildiyindən hostun nə olduğuna dəyişir. EAP-TLS ilə müştəri sertifikat təqdim edir və uyğun şəxsi açarı saxladığını sübut edir; siyasət serveri subyekti və ya kompüter hesabını qrupa xəritələyir və həmin qrup üçün siyasəti tətbiq edir. Nə sorğu, nə də mətn faylında oturmuş ümumi sirr.
Yaratdığı sərhəd insanların gözlədiyindən dardır. Sertifikat tapşırığı deyil, hostu autentifikasiya edir və root və ya yerli administrator hüquqları olan istənilən şəxs həmin hostda bu açardan istifadə edə bilər. Açarı platformanın qoruduğu yerdə saxlayın: Windows sertifikat anbarında ixrac edilə bilməyən, profil icazə verdiyi yerdə TPM dəstəkli və ya Linuxda root-a məxsus 0600 faylı. Hostun kompromisinə uğraması etibarnamənin kompromisinə uğramasıdır.
Vaxtın bitməsi təkrarlanan nasazlıqdır. Bazar günü vaxtı bitən sertifikat tapşırığı bazar günü dayandırır və şlüz tarixi adlandırmaq əvəzinə adətən ümumi autentifikasiya xətası bildirir. Tarixləri tapşırıq hostundan runbook-un bir hissəsi kimi yoxlayın:
openssl x509 -in client.pem -noout -subject -issuer -dates
ipsec listcertsLəğvetmə şlüzün yoxladığı yol tələb edir. OpenVPN crl-verify seçimi ilə CRL oxuyur və strongSwan əlaqə profilinin necə qurulduğuna görə CRL və ya OCSP-dən asılıdır. Əgər heç biri qoşulmayıbsa, hostun çıxarılması sertifikatın vaxtının bitməsini gözləmək deməkdir.
Onların arasında qərar verən üç şərt
Müqayisəni istinad dizaynına deyil, malik olduğunuz platformaya qarşı aparın.
Birinci şərt: şlüz maşın kimliyini avtorizasiya edə bilirmi? Əgər yalnız RADIUS istifadəçi adını kataloq istifadəçisinə xəritələyirsə, sertifikat hostu autentifikasiya edir və sonra avtorizasiyada dayanır. İkinci şərt: tapşırıq yalnız istifadəçi hesabının daşıdığı resurs girişinə ehtiyac duyurmu, məsələn xəritələnmiş paylaşım və ya yer üzrə lisenziya? Onda maşın kimliyi əvəz edə bilməz və dürüst cavab məhdud siyasətli xüsusi istifadəçi hesabıdır. Üçüncü şərt: dövrədə insan olmadan etibarnaməni kim rotasiya edə bilər? Avtomatik qeydiyyat sertifikatları ucuz saxlayır; bir şəxsin bildiyi parol isə yox.
| Constraint | Machine certificate | Dedicated user account with stored secret |
|---|---|---|
| Unattended login | Private key proof, no prompt | Only if the account is exempted from MFA |
| Resource expects a user identity | Works only when the resource accepts computer accounts | Matches the access a person would have |
| Rotation | Re-enrollment, often automated | Secret change plus redeploy of every copy |
| Revocation speed | Tied to CRL or OCSP refresh | Disable the account, immediate |
Cədvəli sıralama kimi deyil, xərc siyahısı kimi oxuyun. Saxlanılan sirr sütunu ləğvetmə sürətində və yalnız istifadəçi hesaplarını başa düşən resurslarla uyğunluqda qalib gəlir; sertifikat sütunu rotasiyada və skriptin işləməsi üçün MFA-nı zəiflətməməkdə qalib gəlir.
Həddi siyasətə qoyun, autentifikasiyadan sonra
Hansı kimliyi seçsəniz də, icazə həddi autentifikasiyadan sonra işləyən siyasətə aiddir. NPS-də şəbəkə siyasətləri sıra ilə qiymətləndirilir və hər şərtə uyğun gələn ilk siyasət öz parametrlərini tətbiq edir, ona görə dar siyasətin üstündə yerləşən geniş siyasət müştərinin nə təqdim etməsindən asılı olmayaraq nəticəni həll edir. Microsoft şərt və parametr modelini öz sənədində təsvir edir: NPS siyasətinə baxış.
Tapşırığa öz qrupunu və ya siyasət şərtini verin, maşın kimliyinin daşıdığı bir şeyə əsaslanaraq: sertifikat şablonu, zəng stansiyası identifikatoru və ya xüsusi hovuzdan bir ünvan. Sonra sessiyanı atributlarla məhdudlaşdırın: şlüzünüzün xəritələdiyi rol üçün Filter-Id, dayanmış tapşırığın günlərlə sessiya saxlaması əvəzinə yenidən autentifikasiya etməsi üçün qısa Session-Timeout və qarşı tərəfdə firewall tətbiq etdiyiniz hovuzdan Framed-IP-Address. Tətbiq avtorizasiyası ayrı qalır: verilənlər bazası serverinə tunel onun içindəki cədvəli oxumaq icazəsi deyil.
Rəddləri yoxlayın, sonra çıxarılmanı planlaşdırın
İşləyən giriş ən az imtiyaz barədə heç nə sübut etmir. Əvəzində rəddləri sınaqdan keçirin: tapşırıq kimliyi ilə qoşulun və siyahıdan kənar təyinatə çatmağa çalışın, şlüz yalnız birinə icazə verməlidirsə ikinci paralel sessiya açın və etibarnamə ləğv edildikdən sonra girişi təkrarlayın.
Sonra eyni sessiyanı iki yerdə təsdiqləyin. Şlüz jurnalı autentifikasiya edən kimliyi göstərir; siyasət serverinin jurnalı hansı siyasətin uyğun gəldiyini və hansı atributları qaytardığını göstərir. OpenVPN-də server sertifikatın ümumi adını qeyd edir, strongSwan-da ipsec statusall istifadə olunan kimliklə qurulmuş tuneli çap edir. Əgər iki jurnal kimlik barədə ziddiyyət təşkil edirsə, siyasət güman etdiyinizdən başqa bir şeylə uyğunlaşır.
Çıxarılma təmizlik sprintinə deyil, dizayna aiddir. Silinəcək hər şeyi yazın (sertifikat və ya hesab, qrup üzvlüyü, şəbəkə siyasəti, hovuz qeydi, hədəfdə firewall qaydası) və tapşırığı yenidən qurmaq asan olanda bir dəfə icra edin.
Bu gün başlayırsınızsa, bu sıra ilə işləyin: resurs siyahısını yazın, kimliyi üç şərtlə seçin, həddi siyasətə qoyun və tapşırıq canlıya keçməzdən əvvəl bir rəddi məşq edin.