Регистриране на VPN потребител: първо открийте собственика на самоличността

Някой иска достъп до VPN и първият инстинкт е да се изпълни adduser на сървъра. Този инстинкт е правилен само в тесен набор от внедрявания. Преди да създадете каквото и да е, отворете конфигурацията на сървъра и разберете кой продукт работи там и къде проверява идентификационните данни, защото акаунтът може да живее в база данни на продукта, в доставчик на самоличност или в собствения стек за удостоверяване на хоста. Създаването на грешен вид акаунт оставя човека с работещ вход и без тунел.

Клиентският профил, в който пише OpenVPN, описва протокола, а не системата за самоличност зад него.

Започнете от сървъра, а не от adduser

Първо идентифицирайте продукта. Community OpenVPN е демонът плюс каквото удостоверяване сте включили към него, докато Access Server е продукт със свой собствен потребителски слой. Поискайте конфигурацията, името на unit и списъка с пакети и проверете дали има уеб интерфейс за управление на потребители. След това вижте как внедреният профил очаква клиентите да докажат кои са: сертификат, потребителско име и парола или и двете. Този отговор назовава системата, която притежава акаунта.

Само след това фразата създаване на потребителя има смисъл. При внедряване само със сертификати това означава издаване на самоличност на устройство чрез одобрения процес и Unix входът не променя нищо. При внедряване с парола това означава backend, който действително проверява паролата.

Четири backend-а, четири места за създаване на акаунта

Локалното удостоверяване на Access Server пази акаунтите в собствената си база данни, затова интерфейсът за създаването им принадлежи на продукта, а не на хоста. PAM делегира проверката на стека на операционната система и затова локален Unix акаунт може да е част от регистрацията, когато услугата е избрала точно този стек. LDAP, RADIUS и SAML преместват проверката във външна услуга, където живеят подготвянето, политиката за пароли и MFA. Access Server може да пази сертификати и разрешения за всеки потребител и в четирите случая и точно това прави разделението объркващо.

Проверете ефективния метод за конкретния потребител, а не глобалната стойност по подразбиране. Access Server 2.10 и по-нови може да прилага различни методи за удостоверяване за група или потребител, така че стойност по подразбиране локално не доказва, че акаунтът пред вас се проверява локално.

Правата са отделно решение

Удостоверяването отговаря кой е човекът; правата отговарят до какво може да достигне. Дръжте ги като две стъпки, защото успешният вход не е разрешение. Задайте предвидените маршрути, правата върху ресурси и административните права съзнателно и потвърдете, че несвързаният достъп остава отказан. Където внедряването поддържа индивидуални самоличности, издавайте по една на човек вместо да препредавате чужд профил, защото споделен профил не може да бъде отнет за един човек.

Клиентският материал също има значение. Профилът с автоматичен вход и интерактивният потребителски вход представляват различни отношения на удостоверяване и размяната на едното с другото променя това, което сървърът действително проверява.

Отнемането на достъп е част от регистрацията

Запишете трима собственици, докато потребителят се създава: кой проверява акаунта, кой разрешава достъпа до VPN и кое устройство или профил представлява връзката. Това може да са три различни системи и план за отнемане, който назовава само един от тях, оставя път отворен. Когато човекът напусне, премахнете правото от неговия собственик и оттеглете всеки издаден идентификационен документ при неговия собственик. Изтриването на изтеглен файл не е отнемане и изтриването на локален запис също не е, ако външна самоличност все още се удостоверява.

След това тествайте регистрацията както би направил нападател: свържете се веднъж с новата самоличност, потвърдете достъпа до предвидения ресурс и потвърдете, че несвързан ресурс все още отказва. Първа работеща връзка плюс отрицателен тест е завършена регистрация.

Пазете записа с профила, към който принадлежи. Следващият одитор ще попита кой е могъл да се свърже през даден месец и отговорът живее в тези трима собственици.