Mynediad VPN cyfrif gwasanaeth: tystysgrif neu fewngofnodi a rennir

Mae dau ddyluniad yn gorchuddio bron pob setup VPN heb oruchwyliaeth: mewngofnodi dynol a rennir wedi’i gadw mewn sgript, neu dystysgrif peiriant wedi’i chlymu i’r gwesteiwr. Maent yn methu mewn gwahanol leoedd, sy’n bwysicach na chyflymder y setup. Mae cyfrinair wedi’i storio yn torri pan fydd ei berchennog yn ei newid neu’n gadael; mae tystysgrif yn torri pan fydd yn dod i ben neu pan fydd y gwesteiwr yn cael ei ailadeiladu heb yr allwedd. Mae tri amod yn penderfynu pa gost y gallwch ei chludo, ac nid yw’r naill ddyluniad na’r llall yn cyfyngu ar unrhyw beth nes bod y polisi awdurdodi yn gwneud hynny.

Dechreuwch o’r dasg, nid o’r cyfrif

Mae’r dasg yn diffinio’r ffin: pa gyrchfannau, pa wasanaethau, pa oriau, pa mor hir y caiff sesiwn redeg. Mae llwybr twnnel yn hanner y ffin honno yn unig. Mae’r porth yn penderfynu a yw’r sesiwn yn cael ei chaniatáu; mae’r adnodd y tu ôl iddi yn penderfynu beth y gall y sesiwn ei wneud. Ysgrifennwch y rhestr yn gyntaf, gyda pherchennog a enwir, oherwydd rhaid i’r ddau ddyluniad hunaniaeth ei bodloni.

Cadwch dilysu ac awdurdodi ar wahân wrth ei ysgrifennu. Mae dilysu yn ateb pwy sy’n cysylltu; mae awdurdodi yn ateb beth y gall y sesiwn ei gyrraedd wedyn. Mae RADIUS yn cario’r ail ran fel priodweddau megis Filter-Id, Framed-IP-Address, Session-Timeout a Class, ac mae’r porth yn eu cysylltu unwaith y bydd y mewngofnodi yn llwyddo. Nid yw dyluniad sy’n newid y mewngofnodi ac yn gadael awdurdodi heb ei gyffwrdd wedi cyfyngu ar unrhyw beth.

Mewngofnodi dynol a rennir: y cyfrinair sy’n dod yn ffin

Ailddefnyddio cyfrif dynol yw’r llwybr cyflymaf a’r un sy’n heneiddio waethaf. Cyfrinair yw’r cymhwyster, felly mae’n gorffen mewn sgript, ffeil amgylchedd a chyfluniad trefnydd, ac mae angen cylchdroi ar bob copi. Pan fydd y perchennog yn ei newid ar ddydd Gwener, mae’r dasg yn methu ar y rhediad nesaf ac nid oes neb yn gwylio.

MFA yw’r man lle mae’r dyluniad hwn fel arfer yn dymchwel. Ni all sgript ateb anogwr push, felly mae’r cyfrif yn cael ei eithrio o’r polisi, sef yn union y cyfrif y byddai ymosodwr yn ei ddewis. Mae eithriadau, osgoi lleoliadau dibynadwy ac eithriadau fesul cyfrif yn lluosi, ac nid oes yr un ohonynt yn weladwy i’r person nesaf sy’n darllen gosodiadau’r tenant.

Priodoli yw’r gost arall. Mae pob sesiwn yng nghofnod y porth yn cario’r un enw defnyddiwr, felly ni ellir gwahaniaethu’r cydamseru nosweithiol oddi wrth waith y person a’i hysgrifennodd, ac mae dirymu’r dasg yn golygu dirymu’r person hwnnw.

Tystysgrif peiriant: hunaniaeth wedi’i chlymu i’r gwesteiwr

Mae tystysgrif yn newid y cwestiwn o’r hyn y mae’r cyfrif yn ei wybod i’r hyn yw’r gwesteiwr. Gyda EAP-TLS mae’r cleient yn cyflwyno tystysgrif ac yn profi meddiant o’r allwedd preifat cyfatebol; mae’r gweinydd polisi yn mapio’r pwnc neu’r cyfrif cyfrifiadur i grŵp ac yn cymhwyso’r polisi ar gyfer y grŵp hwnnw. Dim anogwr, dim cyfrinach a rennir yn eistedd mewn ffeil destun.

Mae’r ffin y mae’n ei chreu yn gulach nag y mae pobl yn disgwyl. Mae tystysgrif yn dilysu’r gwesteiwr, nid y dasg, a gall unrhyw un sydd â hawliau root neu weinyddwr lleol ddefnyddio’r allwedd hwnnw ar y gwesteiwr hwnnw. Cadwch yr allwedd lle mae’r platfform yn ei diogelu: heb ei allforio yn stôr tystysgrifau Windows, gyda chefnogaeth TPM lle mae’r proffil yn caniatáu, neu ffeil 0600 sy’n eiddo i root ar Linux. Mae cyfaddawdu’r gwesteiwr yn gyfaddawdu’r cymhwyster.

Dod i ben yw’r methiant achlysurol. Mae tystysgrif sy’n dod i ben ddydd Sul yn atal y dasg ddydd Sul, ac mae’r porth fel arfer yn adrodd methiant dilysu cyffredinol yn hytrach na nodi’r dyddiad. Gwiriwch y dyddiadau o westeiwr y dasg fel rhan o’r runbook:

openssl x509 -in client.pem -noout -subject -issuer -dates
ipsec listcerts

Mae dirymu angen llwybr y mae’r porth yn ei wirio. OpenVPN yn darllen CRL drwy’r opsiwn crl-verify, ac mae strongSwan yn dibynnu ar CRL neu OCSP yn ôl sut y mae’r proffil cysylltiad wedi’i adeiladu. Os nad oes yr un ohonynt wedi’i gysylltu, mae tynnu gwesteiwr yn golygu aros i’r dystysgrif ddod i ben.

Tri amod sy’n penderfynu rhyngddynt

Cynhaliwch y gymhariaeth yn erbyn y platfform sydd gennych, nid yn erbyn dyluniad cyfeirio.

Amod cyntaf: a all y porth awdurdodi hunaniaeth peiriant? Os mai dim ond mapio enw defnyddiwr RADIUS i ddefnyddiwr cyfeiriadur y mae, mae tystysgrif yn dilysu’r gwesteiwr ac yna’n aros ar awdurdodi. Ail amod: a yw’r dasg angen mynediad i adnodd mai dim ond cyfrif defnyddiwr sy’n ei gario, megis cyfranddaliad wedi’i fapio neu drwydded fesul sedd? Yna ni all hunaniaeth peiriant amnewid, a’r ateb gonest yw cyfrif defnyddiwr pwrpasol gyda pholisi cwmpas. Trydydd amod: pwy all gylchdroi’r cymhwyster heb berson yn y ddolen? Mae cofrestru awtomatig yn gwneud tystysgrifau’n rhad i’w cadw; nid yw cyfrinair y mae un person yn ei wybod.

Darllenwch y tabl fel rhestr o gostau, nid fel safle. Mae’r golofn gyfrinach wedi’i storio yn ennill ar gyflymder dirymu ac ar gydnawsedd ag adnoddau nad ydynt yn deall ond cyfrifon defnyddiwr; mae’r golofn dystysgrif yn ennill ar gylchdroi ac ar beidio â gwanhau MFA i wneud i sgript weithio.

Rhowch y terfyn yn y polisi, ar ôl dilysu

Beth bynnag yw’r hunaniaeth a ddewiswch, mae’r terfyn caniatâd yn perthyn i’r polisi sy’n rhedeg ar ôl dilysu. Yn NPS, mae polisïau rhwydwaith yn cael eu gwerthuso mewn trefn a’r polisi cyntaf sy’n cyd-fynd â phob amod sy’n cymhwyso ei osodiadau, felly polisi eang a osodir uwchben un gul sy’n penderfynu’r canlyniad waeth beth y mae’r cleient yn ei gyflwyno. Mae Microsoft yn dogfennu’r model amodau a gosodiadau yn ei drosolwg o bolisïau NPS.

Rhowch grŵp neu amod polisi ei hun i’r dasg, yn seiliedig ar rywbeth y mae hunaniaeth y peiriant yn ei gario: templed tystysgrif, dynodwr gorsaf alw, neu gyfeiriad o bwll pwrpasol. Yna cyfyngwch y sesiwn â phriodweddau: Filter-Id ar gyfer y rôl y mae eich porth yn ei mapio iddi, Session-Timeout byr fel bod tasg sydd wedi storio yn ail-ddilysu yn hytrach na chadw sesiwn am ddyddiau, a Framed-IP-Address o bwll yr ydych yn firewalleiddio ar yr ochr arall. Mae awdurdodi cymhwysiadau yn parhau ar wahân: nid yw twnnel i weinydd cronfa ddata yn ganiatâd i ddarllen tabl y tu mewn iddo.

Gwiriwch wrthodiadau, yna cynlluniwch dynnu

Nid yw mynediad sy’n gweithio yn profi unrhyw beth am y lleiaf o fraint. Profwch y gwrthodiadau yn lle hynny: cysylltwch â hunaniaeth y dasg a cheisiwch gyrraedd cyrchfan y tu allan i’r rhestr, agorwch ail sesiwn ar yr un pryd os yw’r porth i ganiatáu un yn unig, ac ailadroddwch y mewngofnodi ar ôl dirymu’r cymhwyster.

Yna cadarnhewch yr un sesiwn mewn dau le. Mae cofnod y porth yn dangos yr hunaniaeth a ddilyswyd; mae cofnod y gweinydd polisi yn dangos pa bolisi a gyd-fyddodd a pha briodweddau a ddychwelwyd. Ar OpenVPN mae’r gweinydd yn cofnodi enw cyffredin y dystysgrif, ac mae ipsec statusall ar strongSwan yn argraffu’r twnnel sefydledig gyda’r hunaniaeth a ddefnyddir. Os yw’r ddau gofnod yn anghytuno am yr hunaniaeth, mae’r polisi yn cyd-fynd â rhywbeth gwahanol i’r hyn yr ydych yn ei dybio.

Mae tynnu yn perthyn i’r dyluniad, nid i sbrint glanhau. Ysgrifennwch bopeth i’w ddileu (tystysgrif neu gyfrif, aelodaeth grŵp, polisi rhwydwaith, cofnod pwll, rheol tân ar y targed) a’i redeg unwaith tra bo’r dasg yn hawdd i’w hailadeiladu.

Os ydych yn dechrau heddiw, gweithiwch yn y drefn hon: ysgrifennwch y rhestr adnoddau, dewiswch yr hunaniaeth gyda’r tri amod, rhowch y terfyn yn y polisi, ac ymarferwch un gwrthodiad cyn i’r dasg fynd yn fyw.