Εγγραφή χρήστη VPN: βρείτε πρώτα τον κάτοχο της ταυτότητας

Κάποιος ζητά πρόσβαση VPN και η πρώτη αντίδραση είναι να εκτελεστεί το adduser στον διακομιστή. Αυτή η αντίδραση είναι σωστή μόνο σε ένα στενό σύνολο εγκαταστάσεων. Πριν δημιουργήσετε οτιδήποτε, ανοίξτε τη διαμόρφωση του διακομιστή και βρείτε ποιο προϊόν εκτελείται εκεί και πού επικυρώνει διαπιστευτήρια, γιατί ο λογαριασμός μπορεί να ζει σε βάση δεδομένων προϊόντος, σε πάροχο ταυτότητας ή στη δική του στοίβα ελέγχου ταυτότητας του κεντρικού υπολογιστή. Η δημιουργία λάθος τύπου λογαριασμού αφήνει το άτομο με σύνδεση που λειτουργεί και χωρίς τούνελ.

Ένα προφίλ πελάτη που λέει OpenVPN περιγράφει το πρωτόκολλο, όχι το σύστημα ταυτότητας πίσω του.

Ξεκινήστε από τον διακομιστή, όχι από το adduser

Προσδιορίστε πρώτα το προϊόν. Το Community OpenVPN είναι ο δαίμονας συν όποια ταυτοποίηση έχετε συνδέσει σε αυτόν, ενώ το Access Server είναι προϊόν με δικό του επίπεδο χρηστών. Ζητήστε τη διαμόρφωση, το όνομα της μονάδας και τη λίστα πακέτων, και ελέγξτε αν υπάρχει διεπαφή ιστού για τη διαχείριση χρηστών. Στη συνέχεια δείτε πώς το αναπτυγμένο προφίλ περιμένει οι πελάτες να αποδείξουν ποιοι είναι: πιστοποιητικό, όνομα χρήστη και κωδικός πρόσβασης ή και τα δύο. Αυτή η απάντηση ονομάζει το σύστημα που κατέχει τον λογαριασμό.

Μόνο μετά από αυτό έχει νόημα η φράση δημιουργία του χρήστη. Σε εγκατάσταση μόνο με πιστοποιητικά σημαίνει έκδοση ταυτότητας συσκευής μέσω της εγκεκριμένης διαδικασίας, και μια σύνδεση Unix δεν αλλάζει τίποτα. Σε εγκατάσταση με κωδικό πρόσβασης σημαίνει το backend που επικυρώνει πραγματικά τον κωδικό.

Τέσσερα backend, τέσσερα σημεία για τη δημιουργία λογαριασμού

Ο τοπικός έλεγχος ταυτότητας του Access Server κρατά τους λογαριασμούς στη δική του βάση δεδομένων, άρα η διεπαφή για τη δημιουργία τους ανήκει στο προϊόν και όχι στον κεντρικό υπολογιστή. Το PAM αναθέτει την επικύρωση στη στοίβα του λειτουργικού συστήματος, γι’ αυτό ένας τοπικός λογαριασμός Unix μπορεί να είναι μέρος της εγγραφής όταν η υπηρεσία έχει επιλέξει αυτή τη στοίβα. Τα LDAP, RADIUS και SAML μεταφέρουν την επικύρωση σε εξωτερική υπηρεσία, όπου ζουν η προετοιμασία, η πολιτική κωδικών και το MFA. Το Access Server μπορεί και στις τέσσερις περιπτώσεις να κρατά πιστοποιητικά και δικαιώματα ανά χρήστη, και αυτό κάνει τον διαχωρισμό μπερδεμένο.

Ελέγξτε την ενεργή μέθοδο για αυτόν τον συγκεκριμένο χρήστη και όχι την καθολική προεπιλογή. Το Access Server 2.10 και μεταγενέστερο μπορεί να εφαρμόσει διαφορετικές μεθόδους ταυτοποίησης ανά ομάδα ή ανά χρήστη, άρα μια τοπική προεπιλογή δεν αποδεικνύει ότι ο λογαριασμός μπροστά σας επικυρώνεται τοπικά.

Το δικαίωμα είναι ξεχωριστή απόφαση

Η ταυτοποίηση απαντά ποιο είναι το άτομο· το δικαίωμα απαντά τι μπορεί να προσεγγίσει. Κρατήστε τα ως δύο βήματα, γιατί μια επιτυχημένη σύνδεση δεν είναι παραχώρηση. Εκχωρήστε σκόπιμα τις προβλεπόμενες διαδρομές, τα δικαιώματα πόρων και τα διαχειριστικά δικαιώματα, και επιβεβαιώστε ότι η άσχετη πρόσβαση παραμένει απορριπτέα. Όπου η εγκατάσταση υποστηρίζει ατομικές ταυτότητες, εκδώστε μία ανά άτομο αντί να προωθείτε το προφίλ κάποιου άλλου, γιατί ένα κοινόχρηστο προφίλ δεν μπορεί να ανακληθεί για ένα μόνο άτομο.

Το υλικό του πελάτη έχει επίσης σημασία. Ένα προφίλ αυτόματης σύνδεσης και μια διαδραστική σύνδεση χρήστη αντιπροσωπεύουν διαφορετικές σχέσεις ταυτοποίησης, και η ανταλλαγή του ενός με το άλλο αλλάζει τι επαληθεύει πραγματικά ο διακομιστής.

Η ανάκληση πρόσβασης είναι μέρος της εγγραφής

Καταγράψτε τρεις ιδιοκτήτες όσο δημιουργείται ο χρήστης: ποιος επικυρώνει τον λογαριασμό, ποιος εξουσιοδοτεί την πρόσβαση VPN και ποια συσκευή ή προφίλ αντιπροσωπεύει τη σύνδεση. Μπορεί να είναι τρία διαφορετικά συστήματα, και ένα σχέδιο ανάκλησης που ονομάζει μόνο ένα από αυτά αφήνει ένα μονοπάτι ανοιχτό. Όταν το άτομο φύγει, αφαιρέστε το δικαίωμα από τον ιδιοκτήτη του και ανακαλέστε κάθε εκδοθέν διαπιστευτήριο στον ιδιοκτήτη του. Η διαγραφή ενός ληφθέντος αρχείου δεν είναι ανάκληση, ούτε είναι η διαγραφή τοπικής καταχώρισης αν μια εξωτερική ταυτότητα εξακολουθεί να ταυτοποιείται.

Στη συνέχεια δοκιμάστε την εγγραφή όπως θα έκανε ένας επιτιθέμενος: συνδεθείτε μία φορά με τη νέα ταυτότητα, επιβεβαιώστε την πρόσβαση στον προβλεπόμενο πόρο και επιβεβαιώστε ότι ένας άσχετος πόρος εξακολουθεί να αρνείται. Μια πρώτη σύνδεση που λειτουργεί μαζί με μια αρνητική δοκιμή είναι ολοκληρωμένη εγγραφή.

Φυλάξτε την καταγραφή μαζί με το προφίλ στο οποίο ανήκει. Ο επόμενος ελεγκτής θα ρωτήσει ποιος μπορούσε να συνδεθεί κατά τη διάρκεια ενός δεδομένου μήνα, και η απάντηση ζει σε αυτούς τους τρεις ιδιοκτήτες.