Cofrestru defnyddiwr VPN: canfod perchennog yr hunaniaeth yn gyntaf

Mae rhywun yn gofyn am fynediad VPN, a’r reddf gyntaf yw rhedeg adduser ar y gweinydd. Dim ond mewn set gul o ddefnyddiadau y mae’r reddf honno’n gywir. Cyn creu unrhyw beth, agorwch ffurfweddiad y gweinydd a darganfod pa gynnyrch sy’n rhedeg yno a ble y mae’n dilysu cardymau, oherwydd gall y cyfrif fyw mewn cronfa ddata cynnyrch, mewn darparwr hunaniaeth, neu yn stac dilysu’r gwesteiwr ei hun. Mae creu’r math anghywir o gyfrif yn gadael y person â mewngofnod sy’n gweithio a heb dwnnel.

Mae proffil cleient sy’n dweud OpenVPN yn disgrifio’r protocol, nid y system hunaniaeth y tu ôl iddo.

Dechreuwch o’r gweinydd, nid o adduser

Nodwch y cynnyrch yn gyntaf. Community OpenVPN yw’r daemon ynghyd ag unrhyw ddilysu a wnaethoch ei gysylltu ag ef, tra bod Access Server yn gynnyrch â’i haen defnyddwyr ei hun. Gofynnwch am y ffurfweddiad, enw’r uned a’r rhestr becynnau, a gwiriwch a oes rhyngwyneb gwe ar gyfer rheoli defnyddwyr. Yna edrychwch sut y mae’r proffil a ddefnyddir yn disgwyl i gleientiaid brofi pwy ydynt: tystysgrif, enw defnyddiwr a chyfrinair, neu’r ddau. Mae’r ateb hwnnw’n enwi’r system sy’n berchen ar y cyfrif.

Dim ond wedi hynny y mae’r ymadrodd creu’r defnyddiwr yn golygu unrhyw beth. Mewn defnyddiad sy’n dibynnu ar dystysgrifau yn unig, mae’n golygu cyhoeddi hunaniaeth dyfais drwy’r broses gymeradwy, ac nid yw mewngofnod Unix yn newid dim. Mewn defnyddiad cyfrinair, mae’n golygu’r backend sy’n dilysu’r cyfrinair mewn gwirionedd.

Pedwar backend, pedwar man i greu’r cyfrif

Mae dilysu lleol Access Server yn cadw cyfrifon yn ei gronfa ddata ei hun, felly mae’r rhyngwyneb i’w creu yn perthyn i’r cynnyrch yn hytrach na’r gwesteiwr. Mae PAM yn dirprwyo dilysu i stac y system weithredu, a dyna pam y gall cyfrif Unix lleol fod yn rhan o gofrestru pan mai’r stac hwnnw a ddewiswyd gan y gwasanaeth. Mae LDAP, RADIUS a SAML yn symud dilysu i wasanaeth allanol, lle mae darparu, polisi cyfrinair a MFA yn byw. Gall Access Server barhau i gadw tystysgrifau a chaniatadau fesul defnyddiwr yn y pedwar achos, a dyna sy’n gwneud y rhaniad yn ddryslyd.

Gwiriwch y dull effeithiol ar gyfer y defnyddiwr penodol hwn yn hytrach na’r rhagosodiad byd-eang. Gall Access Server 2.10 a diweddarach gymhwyso dulliau dilysu gwahanol fesul grŵp neu fesul defnyddiwr, felly nid yw rhagosodiad lleol yn profi bod y cyfrif o’ch blaen yn cael ei ddilysu’n lleol.

Mae hawlogaeth yn benderfyniad ar wahân

Mae dilysu yn ateb pwy yw’r person; mae hawlogaeth yn ateb beth y gall ei gyrraedd. Cadwch y rhain fel dau gam, oherwydd nid yw mewngofnod llwyddiannus yn grant. Neilltuwch y llwybrau bwriadedig, caniatadau adnoddau a hawliau gweinyddol yn fwriadol, a chadarnhewch fod mynediad anghysylltiedig yn parhau i gael ei wrthod. Lle mae’r defnyddiad yn cefnogi hunaniaethau unigol, cyhoeddwch un i bob person yn lle anfon proffil rhywun arall, oherwydd ni ellir tynnu proffil a rannwyd yn ôl ar gyfer un person yn unig.

Mae deunydd y cleient yn bwysig hefyd. Mae proffil mewngofnodi awtomatig a mewngofnod defnyddiwr rhyngweithiol yn cynrychioli perthnasoedd dilysu gwahanol, ac mae cyfnewid y naill am y llall yn newid yr hyn y mae’r gweinydd yn ei wir wirio.

Mae tynnu mynediad yn rhan o’r gofrestru

Nodwch dri pherchennog wrth i’r defnyddiwr gael ei greu: pwy sy’n dilysu’r cyfrif, pwy sy’n awdurdodi mynediad VPN, a pha ddyfais neu broffil sy’n cynrychioli’r cysylltiad. Gall y rhain fod yn dair system wahanol, ac mae cynllun tynnu’n ôl sy’n enwi dim ond un ohonynt yn gadael llwybr ar agor. Pan fydd y person yn gadael, tynnwch yr hawlogaeth oddi wrth ei pherchennog a thynnwch bob cardyn a gyhoeddwyd oddi wrth ei berchennog. Nid yw dileu ffeil a lawrlwythwyd yn dynnu’n ôl, ac nid yw dileu cofnod lleol ychwaith os yw hunaniaeth allanol yn dal i ddilysu.

Yna profwch y gofrestru fel y byddai ymgeisydd yn ei wneud: cysylltwch unwaith â’r hunaniaeth newydd, cadarnhewch fynediad i’r adnodd bwriadedig, a chadarnhewch fod adnodd anghysylltiedig yn dal i wrthod. Mae cysylltiad cyntaf sy’n gweithio ynghyd â phrawf negyddol yn gofrestru cyflawn.

Cadwch y cofnod gyda’r proffil y mae’n perthyn iddo. Bydd yr archwilydd nesaf yn gofyn pwy allai gysylltu yn ystod mis penodol, ac mae’r ateb yn byw yn y tri pherchennog hynny.