VPN istifadəçisinin qeydiyyatı: əvvəlcə kimlik sahibini tapın

Kimsə VPN girişi istəyir və ilk instinkt serverdə adduser işə salmaqdır. Bu instinkt yalnız dar bir yerləşdirmə dəstində doğrudur. Bir şey yaratmazdan əvvəl serverin konfiqurasiyasını açın və orada hansı məhsulun işlədiyini və etimadnamələri harada yoxladığını öyrənin, çünki hesab məhsul verilənlər bazasında, kimlik provayderində və ya hostun öz autentifikasiya yığınında ola bilər. Yanlış növ hesab yaratmaq adamı işləyən girişlə və tunelsiz qoyur.

OpenVPN yazılmış müştəri profili protokolu təsvir edir, onun arxasındakı kimlik sistemini deyil.

Serverdən başlayın, adduser-dən deyil

Əvvəlcə məhsulu müəyyən edin. Community OpenVPN ona qoşduğunuz autentifikasiya ilə birlikdə demonun özüdür, Access Server isə öz istifadəçi qatı olan məhsuldur. Konfiqurasiyanı, unit adını və paket siyahısını istəyin və istifadəçi idarəetməsi üçün veb interfeysin olub-olmadığını yoxlayın. Sonra yerləşdirilmiş profilin müştərilərdən kim olduqlarını necə sübut etmələrini gözlədiyinə baxın: sertifikat, istifadəçi adı və parol, yoxsa hər ikisi. Bu cavab hesaba sahib olan sistemi adlandırır.

Yalnız bundan sonra istifadəçinin yaradılması ifadəsi məna kəsb edir. Yalnız sertifikatlı yerləşdirmədə bu, təsdiqlənmiş proseslə cihaz kimliyi vermək deməkdir və Unix girişi heç nəyi dəyişmir. Parol əsaslı yerləşdirmədə bu, parolu həqiqətən yoxlayan backend deməkdir.

Dörd backend, hesab yaratmaq üçün dörd yer

Access Server-in yerli autentifikasiyası hesabları öz verilənlər bazasında saxlayır, ona görə də onları yaratmaq üçün interfeys hosta deyil, məhsula aiddir. PAM yoxlamanı əməliyyat sisteminin yığınına həvalə edir, buna görə də xidmətin seçdiyi yığın həmin yığın olduqda yerli Unix hesabı qeydiyyatın bir hissəsi ola bilər. LDAP, RADIUS və SAML yoxlamanı təminat, parol siyasəti və MFA-nın yaşadığı xarici xidmətə köçürür. Access Server dörd halda da istifadəçi üzrə sertifikatları və icazələri saxlaya bilər və bölgünü çaşdıran da elə budur.

Qlobal standartı deyil, bu konkret istifadəçi üçün effektiv metodu yoxlayın. Access Server 2.10 və daha sonrakı versiyalar qrup və ya istifadəçi üzrə fərqli autentifikasiya metodları tətbiq edə bilər, ona görə də yerli standart qarşınızdakı hesabın yerli yoxlandığını sübut etmir.

Hüquq ayrı bir qərardır

Autentifikasiya şəxsin kim olduğunu cavablandırır; hüquq isə onun nəyə çata biləcəyini cavablandırır. Bunları iki addım kimi saxlayın, çünki uğurlu giriş icazə deyil. Nəzərdə tutulan marşrutları, resurs icazələrini və inzibati hüquqları qəsdən təyin edin və əlaqəsiz girişin rədd olunaraq qaldığını təsdiqləyin. Yerləşdirmə fərdi kimlikləri dəstəklədiyi yerlərdə başqasının profilini ötürmək yerinə hər adama bir kimlik verin, çünki paylaşılan profil tək bir şəxs üçün ləğv edilə bilməz.

Müştəri materialı da vacibdir. Avtomatik giriş profili ilə interaktiv istifadəçi girişi fərqli autentifikasiya münasibətlərini təmsil edir və birini digəri ilə dəyişmək serverin həqiqətən nəyi yoxladığını dəyişir.

Girişin dayandırılması qeydiyyatın bir hissəsidir

İstifadəçi yaradılarkən üç sahibi yazın: hesabı kim yoxlayır, VPN girişinə kim icazə verir və əlaqəni hansı cihaz və ya profil təmsil edir. Bunlar üç fərqli sistem ola bilər və yalnız birini adlandıran ləğv planı bir yol açıq qoyur. Şəxs getdikdə hüququ sahibindən çıxarın və verilmiş hər etimadnaməni sahibinin yanında dayandırın. Yüklənmiş faylı silmək ləğv deyil, xarici kimlik hələ də autentifikasiya edirsə yerli qeydi silmək də ləğv deyil.

Sonra qeydiyyatı hücumçunun edəcəyi kimi sınayın: yeni kimliklə bir dəfə qoşulun, nəzərdə tutulan resursa girişi təsdiqləyin və əlaqəsiz resursun hələ də imtina etdiyini təsdiqləyin. İşləyən ilk əlaqə və mənfi test tamamlanmış qeydiyyatdır.

Qeydi aid olduğu profillə birlikdə saxlayın. Növbəti auditor müəyyən bir ay ərzində kimin qoşula biləcəyini soruşacaq və cavab o üç sahibdədir.