Πρόσβαση VPN λογαριασμού υπηρεσίας: πιστοποιητικό ή κοινή σύνδεση

Δύο σχέδια καλύπτουν σχεδόν κάθε εγκατάσταση VPN χωρίς επίβλεψη: μια κοινή ανθρώπινη σύνδεση που φυλάσσεται σε σενάριο ή ένα πιστοποιητικό μηχανής δεσμευμένο στον κεντρικό υπολογιστή. Αποτυγχάνουν σε διαφορετικά σημεία, κάτι που έχει μεγαλύτερη σημασία από την ταχύτητα εγκατάστασης. Ένας αποθηκευμένος κωδικός σπάει όταν ο ιδιοκτήτης του τον αλλάξει ή φύγει· ένα πιστοποιητικό σπάει όταν λήξει ή όταν ο κεντρικός υπολογιστής ξαναχτιστεί χωρίς το κλειδί. Τρεις συνθήκες αποφασίζουν ποιο κόστος μπορείτε να σηκώσετε, και κανένα από τα δύο σχέδια δεν περιορίζει τίποτα μέχρι να το κάνει η πολιτική εξουσιοδότησης.

Ξεκινήστε από την εργασία, όχι από τον λογαριασμό

Η εργασία ορίζει το όριο: ποιοι προορισμοί, ποιες υπηρεσίες, ποιες ώρες, πόσο μπορεί να διαρκέσει μια συνεδρία. Μια διαδρομή τούνελ είναι μόνο το μισό αυτού του ορίου. Η πύλη αποφασίζει αν επιτρέπεται η συνεδρία· ο πόρος πίσω της αποφασίζει τι μπορεί να κάνει η συνεδρία. Γράψτε πρώτα τη λίστα, με ονομασμένο ιδιοκτήτη, γιατί και τα δύο σχέδια ταυτότητας πρέπει να την ικανοποιούν.

Κρατήστε την αυθεντικοποίηση και την εξουσιοδότηση χωριστά όσο το γράφετε. Η αυθεντικοποίηση απαντά ποιος συνδέεται· η εξουσιοδότηση απαντά τι μπορεί να προσεγγίσει η συνεδρία μετά. Το RADIUS μεταφέρει το δεύτερο μέρος ως χαρακτηριστικά όπως Filter-Id, Framed-IP-Address, Session-Timeout και Class, και η πύλη τα προσαρτά μόλις πετύχει η σύνδεση. Ένα σχέδιο που αλλάζει τη σύνδεση και αφήνει την εξουσιοδότηση ανέγγιχτη δεν έχει περιορίσει τίποτα.

Κοινή ανθρώπινη σύνδεση: ο κωδικός γίνεται το όριο

Η επανάχρηση ανθρώπινου λογαριασμού είναι ο ταχύτερος δρόμος και αυτός που γερνάει χειρότερα. Το διαπιστευτήριο είναι κωδικός, οπότε καταλήγει σε σενάριο, αρχείο περιβάλλοντος και ρύθμιση χρονοπρογραμματιστή, και κάθε αντίγραφο χρειάζεται περιστροφή. Όταν ο ιδιοκτήτης τον αλλάξει μια Παρασκευή, η εργασία αποτυγχάνει στην επόμενη εκτέλεση και κανείς δεν κοιτάει.

Το MFA είναι το σημείο όπου αυτό το σχέδιο συνήθως καταρρέει. Ένα σενάριο δεν μπορεί να απαντήσει σε αίτημα push, οπότε ο λογαριασμός εξαιρείται από την πολιτική, και αυτός είναι ακριβώς ο λογαριασμός που θα διάλεγε ένας επιτιθέμενος. Οι εξαιρέσεις, οι παρακάμψεις έμπιστης τοποθεσίας και οι απαλλαγές ανά λογαριασμό πολλαπλασιάζονται, και καμία δεν είναι ορατή στον επόμενο άνθρωπο που διαβάζει τις ρυθμίσεις του ενοικιαστή.

Η απόδοση είναι το άλλο κόστος. Κάθε συνεδρία στο αρχείο καταγραφής της πύλης φέρει το ίδιο όνομα χρήστη, οπότε ο νυχτερινός συγχρονισμός δεν ξεχωρίζει από τη δουλειά του ανθρώπου που τον έγραψε, και η ανάκληση της εργασίας σημαίνει ανάκληση αυτού του ανθρώπου.

Πιστοποιητικό μηχανής: ταυτότητα δεσμευμένη στον κεντρικό υπολογιστή

Ένα πιστοποιητικό αλλάζει την ερώτηση από το τι ξέρει ο λογαριασμός σε το τι είναι ο κεντρικός υπολογιστής. Με EAP-TLS ο πελάτης παρουσιάζει πιστοποιητικό και αποδεικνύει κατοχή του αντίστοιχου ιδιωτικού κλειδιού· ο διακομιστής πολιτικής αντιστοιχίζει το υποκείμενο ή τον λογαριασμό υπολογιστή σε μια ομάδα και εφαρμόζει την πολιτική για εκείνη την ομάδα. Χωρίς ερώτημα, χωρίς κοινό μυστικό σε αρχείο κειμένου.

Το όριο που δημιουργεί είναι στενότερο από ό,τι περιμένουν οι άνθρωποι. Ένα πιστοποιητικό αυθεντικοποιεί τον κεντρικό υπολογιστή, όχι την εργασία, και όποιος έχει δικαιώματα root ή τοπικού διαχειριστή μπορεί να χρησιμοποιήσει αυτό το κλειδί σε αυτόν τον κεντρικό υπολογιστή. Κρατήστε το κλειδί εκεί όπου η πλατφόρμα το προστατεύει: μη εξαγώγιμο στο χώρο πιστοποιητικών των Windows, με υποστήριξη TPM όπου το προφίλ το επιτρέπει, ή αρχείο 0600 που ανήκει στο root στο Linux. Η παραβίαση του κεντρικού υπολογιστή είναι παραβίαση του διαπιστευτηρίου.

Η λήξη είναι η επαναλαμβανόμενη αποτυχία. Ένα πιστοποιητικό που λήγει μια Κυριακή σταματά την εργασία την Κυριακή, και η πύλη συνήθως αναφέρει γενική αποτυχία αυθεντικοποίησης αντί να ονομάσει την ημερομηνία. Ελέγξτε τις ημερομηνίες από τον κεντρικό υπολογιστή της εργασίας ως μέρος του runbook:

openssl x509 -in client.pem -noout -subject -issuer -dates
ipsec listcerts

Η ανάκληση χρειάζεται μια διαδρομή που ελέγχει η πύλη. OpenVPN διαβάζει CRL μέσω της επιλογής crl-verify, και το strongSwan εξαρτάται από CRL ή OCSP ανάλογα με το πώς είναι χτισμένο το προφίλ σύνδεσης. Αν δεν είναι συνδεδεμένο κανένα από τα δύο, η αφαίρεση ενός κεντρικού υπολογιστή σημαίνει αναμονή μέχρι να λήξει το πιστοποιητικό.

Τρεις συνθήκες που αποφασίζουν μεταξύ τους

Κάντε τη σύγκριση με την πλατφόρμα που έχετε, όχι με ένα σχέδιο αναφοράς.

Πρώτη συνθήκη: μπορεί η πύλη να εξουσιοδοτήσει ταυτότητα μηχανής; Αν αντιστοιχίζει μόνο ένα όνομα χρήστη RADIUS σε χρήστη καταλόγου, ένα πιστοποιητικό αυθεντικοποιεί τον κεντρικό υπολογιστή και μετά κολλάει στην εξουσιοδότηση. Δεύτερη συνθήκη: χρειάζεται η εργασία πρόσβαση σε πόρο που φέρει μόνο λογαριασμός χρήστη, όπως κοινόχρηστο φάκελο ή άδεια ανά θέση; Τότε μια ταυτότητα μηχανής δεν μπορεί να υποκαταστήσει, και η ειλικρινής απάντηση είναι αποκλειστικός λογαριασμός χρήστη με περιορισμένη πολιτική. Τρίτη συνθήκη: ποιος μπορεί να περιστρέψει το διαπιστευτήριο χωρίς άνθρωπο στον κύκλο; Η αυτόματη εγγραφή κάνει τα πιστοποιητικά φθηνά στη συντήρηση· ένας κωδικός που τον ξέρει ένας άνθρωπος όχι.

Διαβάστε τον πίνακα ως λίστα κόστους, όχι ως κατάταξη. Η στήλη του αποθηκευμένου μυστικού κερδίζει στην ταχύτητα ανάκλησης και στη συμβατότητα με πόρους που καταλαβαίνουν μόνο λογαριασμούς χρηστών· η στήλη του πιστοποιητικού κερδίζει στην περιστροφή και στο ότι δεν αποδυναμώνει το MFA για να δουλέψει ένα σενάριο.

Βάλτε το όριο στην πολιτική, μετά την αυθεντικοποίηση

Όποια ταυτότητα κι αν διαλέξετε, το όριο δικαιωμάτων ανήκει στην πολιτική που εκτελείται μετά την αυθεντικοποίηση. Στο NPS οι πολιτικές δικτύου αξιολογούνται με σειρά και η πρώτη πολιτική που ταιριάζει σε κάθε συνθήκη εφαρμόζει τις ρυθμίσεις της, οπότε μια ευρεία πολιτική πάνω από μια στενή καθορίζει το αποτέλεσμα ανεξάρτητα από το τι παρουσιάζει ο πελάτης. Η Microsoft τεκμηριώνει το μοντέλο συνθηκών και ρυθμίσεων στην επισκόπηση πολιτικών NPS.

Δώστε στην εργασία τη δική της ομάδα ή συνθήκη πολιτικής, με βάση κάτι που φέρει η ταυτότητα μηχανής: πρότυπο πιστοποιητικού, αναγνωριστικό σταθμού κλήσης ή διεύθυνση από αποκλειστική δεξαμενή. Έπειτα περιορίστε τη συνεδρία με χαρακτηριστικά: ένα Filter-Id για τον ρόλο στον οποίο την αντιστοιχίζει η πύλη σας, ένα σύντομο Session-Timeout ώστε μια κολλημένη εργασία να επαναυθεντικοποιείται αντί να κρατά συνεδρία για ημέρες, και μια Framed-IP-Address από δεξαμενή που φιλτράρετε με τείχος προστασίας στην άλλη πλευρά. Η εξουσιοδότηση εφαρμογών μένει χωριστή: ένα τούνελ σε διακομιστή βάσης δεδομένων δεν είναι άδεια ανάγνωσης πίνακα μέσα σε αυτήν.

Επαληθεύστε τις αρνήσεις, μετά σχεδιάστε την αφαίρεση

Η πρόσβαση που λειτουργεί δεν αποδεικνύει τίποτα για το ελάχιστο προνόμιο. Δοκιμάστε τις αρνήσεις αντ' αυτού: συνδεθείτε με την ταυτότητα της εργασίας και φτάστε σε προορισμό εκτός λίστας, ανοίξτε δεύτερη ταυτόχρονη συνεδρία αν η πύλη πρέπει να επιτρέπει μόνο μία, και επαναλάβετε τη σύνδεση μετά την ανάκληση του διαπιστευτηρίου.

Έπειτα επιβεβαιώστε την ίδια συνεδρία σε δύο σημεία. Το αρχείο της πύλης δείχνει την ταυτότητα που αυθεντικοποιήθηκε· το αρχείο του διακομιστή πολιτικής δείχνει ποια πολιτική ταίριαξε και ποια χαρακτηριστικά επέστρεψε. Στο OpenVPN ο διακομιστής καταγράφει το κοινό όνομα του πιστοποιητικού, και το ipsec statusall στο strongSwan εκτυπώνει το εγκατεστημένο τούνελ με την ταυτότητα που χρησιμοποιείται. Αν τα δύο αρχεία διαφωνούν για την ταυτότητα, η πολιτική ταιριάζει με κάτι άλλο από αυτό που υποθέτετε.

Η αφαίρεση ανήκει στο σχέδιο, όχι σε σπριντ καθαριότητας. Γράψτε όλα όσα πρέπει να διαγραφούν (πιστοποιητικό ή λογαριασμός, συμμετοχή σε ομάδα, πολιτική δικτύου, καταχώριση δεξαμενής, κανόνας τείχους προστασίας στον στόχο) και εκτελέστε το μία φορά όσο η εργασία ξαναχτίζεται εύκολα.

Αν ξεκινάτε σήμερα, δουλέψτε με αυτή τη σειρά: γράψτε τη λίστα πόρων, διαλέξτε την ταυτότητα με τις τρεις συνθήκες, βάλτε το όριο στην πολιτική και εξασκηθείτε σε μια άρνηση πριν η εργασία βγει σε λειτουργία.