Symud backend dilysu VPN heb ailddefnyddio hen hashes
Mae symud hunaniaethau VPN yn doriad, nid copi: mapiwch y gadwyn ddilysu, symudwch garfan beilot, profwch newidiadau i gymwysterau a chynlluniwch adferiad na all ailosodiad ei ddadwneud.
Mae enwau defnyddwyr yn ymddangos yn y cyfeiriadur newydd, cyhoeddir bod y mudo wedi gorffen, ac mae mewngofnodi yn dal i fethu. Mae'r porth yn dal i fod angen llwybr dilysu a gefnogir a chanlyniad awdurdodi cywir, ac nid yw'r naill na'r llall yn deillio o gyfeiriadur sydd bellach yn cynnwys y cyfrifon. Mae symud backend yn doriad â chylch bywyd, nid yn waith copïo. Y symptom isod yw'r un sy'n datgelu'r gwahaniaeth fel arfer.
Y symptom: mae'r cyfrifon yn bodoli, nid yw'r sesiynau
Mae'r cyfeiriadur newydd yn cynnwys pob enw defnyddiwr, mae clymiad prawf yn llwyddo, ac mae'r cleient VPN yn dal i ddychwelyd methiant dilysu. Mae'r cyfuniad hwnnw'n golygu bod yr hunaniaeth yn bodoli, ond nad yw'r llwybr gwirio a ddefnyddir gan y porth yn cyrraedd ati, neu'n cyrraedd ati gyda dull na all ei fodloni. Mae'r ddau yn ffurfweddiad, ac maent yn broblemau gwahanol.
Y cyntaf yw plymwaith: mae'r porth yn pwyntio at backend nad yw'n ateb, yn defnyddio cyfrinach a rennir nad yw'r ochr arall yn ei disgwyl, neu'n gofyn am briodoledd nad yw'r gwasanaeth newydd yn ei dychwelyd. Yr ail yw cryptograffig: mae'r dull yn gofyn am y gyfrinach wreiddiol, ac nid yw'r storfa newydd yn cadw ond hash ohoni. Mae testun y gwall yn edrych yn debyg yn y ddau achos, a dyna pam y cânt eu trin fel un broblem.
Mae gwahanu'r ddau cyn cyffwrdd cyfrifon yn arbed wythnos. Mae un yn gwestiwn llwybro ac ymddiriedaeth, mae'r llall yn benderfyniad ynghylch ailosod cymwysterau, ac mae eu cymysgu yn cynhyrchu newidiadau na all neb eu priodoli.
Mapiwch y gadwyn cyn symud unrhyw un
Ysgrifennwch chwe pheth ar gyfer pob proffil cleient: y dull dilysu allanol, unrhyw ddull mewnol, hunaniaeth y gweinydd y mae'r cleient yn ei disgwyl, y rhyngwyneb rhwng y porth a'r backend, y briodoledd y mae'r porth yn ei mapio i aelodaeth grŵp, a'r polisi adnoddau sy'n deillio. Mae eu darllen mewn trefn yn dangos pa gysylltiad heb berchennog. Mae gan bob eitem berchennog, ac mae'r toriad yn methu yn yr un na wnaeth neb ei wirio.
| Link | Question it answers |
|---|---|
| Client profile | Which method and server name does the client use? |
| Inner method | Is there a second authentication step? |
| Server identity | Which certificate or name must the client accept? |
| Gateway to backend | Which protocol, port and shared secret? |
| Attribute mapping | Which returned value becomes group membership? |
| Resource policy | What the resulting session may reach |
Nid yw mewngofnodi cyfeiriadur cyffredin yn tramwy fawr ddim o'r gadwyn honno. Mae'n profi bod y cyfrif yn bodoli a bod y cyfrinair yn gweithio, sef yr union ran nad oedd erioed dan amheuaeth.
Nid yw hashes yn teithio rhwng dulliau
Rhaid gwirio cydnawsedd cymwysterau unwaith, cyn symud unrhyw garfan. Mae FreeRADIUS yn dogfennu'r rhaniad yn glir: mae archwiliad CHAP a wneir gan y gweinydd ei hun angen y cyfrinair gwirioneddol, ac mae MS-CHAP yn derbyn y cyfrinair hwnnw neu ddeunydd NT addas. Nid yw hash a gynhyrchwyd at ddiben arall yn gweddu i'r naill achos na'r llall, waeth pa mor gryf yw hi.
Mae'r gwahaniaeth ynghylch pwy sy'n cyfrifo'r prawf. Mae dull sy'n gwirio trwy rwymo i'r cyfeiriadur yn gadael i'r cyfeiriadur wirio'r hyn y gall ei wirio. Mae dull sy'n gwirio trwy ailgyfrifo ymateb i her angen y gyfrinach ei hun, oherwydd rhaid i'r gweinydd wneud yr un cyfrifiad.
Lle bo'r deunydd ar goll, y dewisiadau gonest yw ailosodiad a gefnogir, ailgofrestriad, gwasanaeth gwirio allanol neu newid dull. Nid yw allforio dros dro o gyfrineiriau adferadwy ar y rhestr honno. Mae'n creu storfa gymwysterau mewn testun clir yn yr wythnos fwyaf anhrefnus o'r prosiect, ac fel arfer mae'n goroesi'r mudo.
Carfan beilot, yna newidiadau cylch bywyd
Symudwch garfan fechan o hunaniaethau a gymeradwywyd gyda'r cleient go iawn, a phrofwch bedwar peth: mewngofnodi ffres, cymhwyster anghywir yn fwriadol, yr adnoddau y caiff y sesiwn eu cyrraedd, a'r adnoddau na chaniateir iddi eu cyrraedd. Gwiriwch hefyd yr hunaniaeth gweinydd a dderbyniwyd gan y cleient, oherwydd mae anghysondeb enw tystysgrif yn anweladwy nes bod rhywun yn darllen log y cleient.
Yna ymarferwch y newidiadau y mae'r defnyddiad yn dibynnu arnynt mewn gwirionedd. Newidiwch gyfrinair, adnewyddwch neu ailgofrestrwch dystysgrif, a thynnwch fynediad oddi ar un cyfrif peilot. Ar ôl pob un, cadarnhewch pa wiriedydd a ymdriniodd â'r ymgais, oherwydd gall sesiwn a grëwyd cyn y toriad barhau i weithio ac nid yw'n profi dim am y mewngofnodi nesaf.
Gwahanwch gyflenwi'r proffil oddi wrth y newid hunaniaeth. Mae angen ei broffil arfaethedig, ei gyflwr cymhwyster neu gofrestru, y gwasanaeth dilysu y dylai ei ddefnyddio, a chyswllt cymorth ar bob carfan, ac ni ddylai unrhyw un o'r cofnodion hynny gynnwys cyfrinach.
Os yw'r hen lwybr a'r llwybr newydd yn cydfodoli, ffinwch nhw â dyddiad gorffen. Gall cwymp awtomatig adael cyfrif i mewn gyda hen gymhwyster ar ôl i'r perchennog newydd dynnu'r mynediad, ac mae hynny'n ôl-gam diogelwch wedi'i wisgo fel argaeledd.
Ni all rhoi'r gorau iddi adfer cymhwyster
Mae gwrthdroi'r toriad yn gadael y cyfeiriadur yn union fel y mae nawr. Mae cyfrinair a ailosodwyd yn parhau wedi'i ailosod, mae tystysgrif a ddirymwyd yn parhau wedi'i dirymu, ac mae fformat cymhwyster a newidiwyd yn parhau wedi'i newid. Digwyddiadau yn y cyfeiriadur yw'r rhain, ac nid y porth oedd eu ffynhonnell erioed. Rhaid diffinio adferiad fesul digwyddiad, ac ni all unrhyw ran ohono ddibynnu ar ail-greu cyfrinach o hash anghydnaws.
Cadwch lwybr gweinyddol nad yw'n defnyddio'r cysylltiad sy'n cael ei fudo. Pan fydd y dilysu newydd yn methu, oedwch y garfan a defnyddiwch ei llwybr adferiad dogfennedig yn lle gwanhau dilysu i bawb er mwyn cadw terfyn amser.
Ar ôl i'r carfanau gael eu cwmpasu, diddymwch hen gymwysterau, proffiliau a pherthynas ymddiriedaeth y backend trwy eu perchnogion. Cadarnhewch nad yw'r hen lwybr yn gadael defnyddwyr i mewn mwyach, a chedwch y mapio hunaniaeth-i-bolisi heb gyfrinachau y mae cymorth ei angen o hyd. Mae mudo yn gorffen pan fydd y cylch bywyd newydd yn gweithio ac na all neb ddod i mewn trwy'r hen lwybr mwyach, nid pan fydd y rhestr cyfrifon yn edrych yn gyflawn.