Registracija VPN korisnika: prvo pronađite vlasnika identiteta

Neko traži pristup VPN-u, a prvi instinkt je pokrenuti adduser na serveru. Taj instinkt je ispravan samo u uskom skupu postavki. Prije nego što išta napravite, otvorite konfiguraciju servera i otkrijte koji proizvod tamo radi i gdje provjerava vjerodajnice, jer račun može živjeti u bazi proizvoda, kod davatelja identiteta ili u vlastitom sloju provjere autentičnosti domaćina. Stvaranje pogrešne vrste računa ostavlja osobu s radnom prijavom i bez tunela.

Profil klijenta u kojem piše OpenVPN opisuje protokol, a ne sistem identiteta iza njega.

Počnite od servera, a ne od adduser

Prvo identificirajte proizvod. Community OpenVPN je daemon plus bilo koja autentifikacija koju ste na njega priključili, dok je Access Server proizvod s vlastitim slojem korisnika. Zatražite konfiguraciju, naziv unita i popis paketa te provjerite postoji li web sučelje za upravljanje korisnicima. Zatim pogledajte kako raspoređeni profil očekuje da klijenti dokažu ko su: certifikatom, korisničkim imenom i lozinkom ili obojim. Taj odgovor imenuje sistem koji posjeduje račun.

Tek nakon toga fraza stvaranja korisnika ima smisla. U postavci samo s certifikatima to znači izdavanje identiteta uređaja kroz odobreni proces, a Unix prijava ništa ne mijenja. U postavci s lozinkom to znači backend koji stvarno provjerava lozinku.

Četiri backenda, četiri mjesta za stvaranje računa

Lokalna autentifikacija Access Servera drži račune u vlastitoj bazi, pa sučelje za njihovo stvaranje pripada proizvodu, a ne domaćinu. PAM delegira provjeru sloju operativnog sistema, zato lokalni Unix račun može biti dio registracije kada je taj sloj ono što je servis odabrao. LDAP, RADIUS i SAML premještaju provjeru u vanjski servis, gdje žive priprema računa, politika lozinki i MFA. Access Server i u sva četiri slučaja može držati certifikate i dozvole po korisniku, i to je ono što podjelu čini zbunjujućom.

Provjerite efektivnu metodu za ovog konkretnog korisnika, a ne globalni zadani izbor. Access Server 2.10 i noviji može primijeniti različite metode autentifikacije po grupi ili korisniku, pa zadana lokalna vrijednost ne dokazuje da se račun pred vama provjerava lokalno.

Pravo je zasebna odluka

Autentifikacija odgovara ko je osoba; pravo odgovara do čega smije doći. Držite to kao dva koraka, jer uspješna prijava nije odobrenje. Namjerno dodijelite predviđene rute, dozvole za resurse i administrativna prava i potvrdite da nepovezani pristup ostaje odbijen. Gdje postavka podržava pojedinačne identitete, izdajte po jedan po osobi umjesto prosljeđivanja tuđeg profila, jer se zajednički profil ne može ukinuti za jednu osobu.

Klijentski materijal je također važan. Profil s automatskom prijavom i interaktivna korisnička prijava predstavljaju različite odnose autentifikacije, a zamjena jednog drugim mijenja ono što server stvarno provjerava.

Ukidanje pristupa dio je registracije

Zapišite tri vlasnika dok se korisnik stvara: ko provjerava račun, ko odobrava pristup VPN-u i koji uređaj ili profil predstavlja vezu. To mogu biti tri različita sistema, a plan ukidanja koji imenuje samo jedan od njih ostavlja put otvorenim. Kada osoba ode, uklonite pravo od njegovog vlasnika i ukinite svaku izdanu vjerodajnicu kod njezina vlasnika. Brisanje preuzete datoteke nije ukidanje, a nije ni brisanje lokalnog unosa ako se vanjski identitet još uvijek autentificira.

Zatim testirajte registraciju kao što bi napadač: povežite se jednom s novim identitetom, potvrdite pristup predviđenom resursu i potvrdite da nepovezani resurs još uvijek odbija. Prva veza koja radi plus negativan test jest dovršena registracija.

Čuvajte zapis uz profil kojem pripada. Sljedeći revizor pitao bi ko se mogao povezati tijekom određenog mjeseca, a odgovor živi u ta tri vlasnika.