Tilmeld en VPN-bruger: find identitetsejeren først

Nogen beder om VPN-adgang, og den første refleks er at køre adduser på serveren. Den refleks er kun rigtig i et snævert sæt af installationer. Før du opretter noget, skal du åbne serverens konfiguration og finde ud af, hvilket produkt der kører der, og hvor det validerer legitimationsoplysninger, fordi kontoen kan ligge i en produktdatabase, hos en identitetsudbyder eller i værtens egen godkendelsesstak. Opretter du den forkerte slags konto, står personen med et fungerende login og uden tunnel.

En klientprofil, der siger OpenVPN, beskriver protokollen, ikke identitetssystemet bag den.

Start med serveren, ikke med adduser

Identificer først produktet. Community OpenVPN er dæmonen plus den godkendelse, du har koblet på den, mens Access Server er et produkt med sit eget brugerlag. Bed om konfigurationen, unit-navnet og pakkelisten, og undersøg, om der findes en webgrænseflade til brugeradministration. Se derefter på, hvordan den udrullede profil forventer, at klienter beviser, hvem de er: et certifikat, et brugernavn og en adgangskode eller begge dele. Det svar navngiver det system, der ejer kontoen.

Først derefter giver sætningen at oprette brugeren mening. I en installation med kun certifikater betyder det at udstede en enhedsidentitet gennem den godkendte proces, og et Unix-login ændrer intet. I en adgangskodeinstallation betyder det den backend, der faktisk validerer adgangskoden.

Fire backends, fire steder at oprette kontoen

Access Servers lokale godkendelse holder konti i sin egen database, så grænsefladen til at oprette dem tilhører produktet og ikke værten. PAM overlader valideringen til styresystemets stak, og derfor kan en lokal Unix-konto være en del af tilmeldingen, når det er den stak, tjenesten har valgt. LDAP, RADIUS og SAML flytter valideringen til en ekstern tjeneste, hvor klargøring, adgangskodepolitik og MFA ligger. Access Server kan stadig holde certifikater og tilladelser per bruger i alle fire tilfælde, og det er det, der gør opdelingen forvirrende.

Kontroller den effektive metode for netop denne bruger i stedet for den globale standard. Access Server 2.10 og nyere kan anvende forskellige godkendelsesmetoder per gruppe eller bruger, så en lokal standard beviser ikke, at kontoen foran dig valideres lokalt.

Rettigheden er en særskilt beslutning

Godkendelse svarer på, hvem personen er; rettigheden svarer på, hvad personen må nå. Hold dem som to trin, fordi et vellykket login ikke er en tildeling. Tildel de tilsigtede ruter, ressource-tilladelser og administrative rettigheder bevidst, og bekræft, at urelateret adgang fortsat afvises. Hvor installationen understøtter individuelle identiteter, skal du udstede én per person i stedet for at videresende en andens profil, fordi en delt profil ikke kan tilbagekaldes for én person alene.

Klientmaterialet betyder også noget. En auto-login-profil og et interaktivt brugerlogin repræsenterer forskellige godkendelsesforhold, og at bytte det ene ud med det andet ændrer, hvad serveren faktisk verificerer.

Tilbagekaldelse af adgang er en del af tilmeldingen

Skriv tre ejere ned, mens brugeren oprettes: hvem der validerer kontoen, hvem der autoriserer VPN-adgangen, og hvilken enhed eller profil der repræsenterer forbindelsen. Det kan være tre forskellige systemer, og en tilbagekaldelsesplan, der kun nævner én af dem, efterlader en vej åben. Når personen forlader virksomheden, skal du fjerne rettigheden hos dens ejer og tilbagekalde hver udstedt legitimation hos dens ejer. At slette en downloadet fil er ikke tilbagekaldelse, og det er sletning af en lokal post heller ikke, hvis en ekstern identitet stadig godkendes.

Test derefter tilmeldingen, som en angriber ville gøre: forbind én gang med den nye identitet, bekræft adgang til den tilsigtede ressource, og bekræft, at en urelateret ressource stadig afviser. En første forbindelse, der virker, plus en negativ test er en gennemført tilmelding.

Opbevar posten sammen med den profil, den hører til. Den næste revisor vil spørge, hvem der kunne forbinde i en given måned, og svaret ligger i de tre ejere.