VPN autentifikazioko backend-a migratzea hash zaharrak berrerabili gabe
VPN identitateen lekualdatzea mozketa bat da, ez kopia: mapatu autentifikazio-katea, eraman kohorte pilotu bat, probatu kredentzialen aldaketak eta planifikatu berrezarpenak desegin ezin duen berreskurapena.
Erabiltzaile-izenak direktorio berrian agertzen dira, migrazioa amaitutzat jotzen da, eta saio-hasierak huts egiten jarraitzen du. Pasabideak oraindik autentifikazio-bide onartu bat eta baimen-emaitza zuzen bat behar ditu, eta biak ez dira kontuak dituen direktorio batetik datoz. Backendaren lekualdatzea bizi-zikloa duen mozketa bat da, ez kopia-lan bat. Beheko sintoma da aldea agerian uzten duena.
Sintoma: kontuak badaude, saioak ez
Direktorio berriak erabiltzaile-izen guztiak ditu, proba-konplaketak arrakasta du, eta VPN bezeroak autentifikazio-hutsa itzultzen jarraitzen du. Konbinazio horrek esan nahi du identitatea badagoela, baina pasabidea erabiltzen duen egiaztapen-bideak ez duela hara iristen, edo bete ezin duen metodo batekin iristen dela. Biak konfigurazioa dira, eta arazo ezberdinak dira.
Lehena kableatzea da: pasabideak erantzuten ez duen backend batera seinalatzen du, beste alderdiak espero ez duen sekretu partekatu bat erabiltzen du, edo zerbitzu berriak itzultzen ez duen atributu bat eskatzen du. Bigarrena kriptografikoa da: metodoak jatorrizko sekretua behar du, eta biltegi berriak haren hash-a baino ez du gordetzen. Errore-testua antzekoa da bi kasuetan, eta horregatik biak arazo bakar gisa tratatzen dira.
Biak bereizteak kontuei ukitu aurretik aste bat aurrezten du. Bata bideratze eta konfiantza kontua da, bestea kredentzialak berrezartzeko erabakia, eta biak nahasteak inork egotzi ezin dituen aldaketak sortzen ditu.
Mapatu katea inor lekualdatu aurretik
Idatzi sei gauza bezero-profil bakoitzeko: kanpoko autentifikazio-metodoa, barneko metodoa balego, bezeroak espero duen zerbitzari-identitatea, pasabidearen eta backendaren arteko interfazea, pasabideak talde-kidetasunari mapatzen dion atributua, eta hortik datorren baliabide-politika. Hurrenez hurren irakurtzeak erakusten du zein katebegik ez duen jaberik. Elementu bakoitzak arduradun bat du, eta mozketak huts egiten du inork egiaztatu ez zuen puntuan.
| Link | Question it answers |
|---|---|
| Client profile | Which method and server name does the client use? |
| Inner method | Is there a second authentication step? |
| Server identity | Which certificate or name must the client accept? |
| Gateway to backend | Which protocol, port and shared secret? |
| Attribute mapping | Which returned value becomes group membership? |
| Resource policy | What the resulting session may reach |
Direktorio-saio-hasi arruntak ez du kate horretatik ia ezer zeharkatzen. Kontua badagoela eta pasahitzak funtzionatzen duela frogatzen du, inoiz zalantzan egon ez zen zatia.
Hashek ez dute metodoen artean bidaiatzen
Kredentzialen bateragarritasuna behin egiaztatu behar da, edozein kohorte mugitu aurretik. FreeRADIUSek banaketa argi dokumentatzen du: zerbitzariak berak egiten duen CHAP egiaztapenak benetako pasahitza behar du, eta MS-CHAPek pasahitz hori edo NT material egokia onartzen du. Beste helburu baterako sortutako hasha ez da bi kasuetako batekin ere bat dator, nahiz eta oso sendoa izan.
Aldea froga nork kalkulatzen duen da. Direktorioari lotuz egiaztatzen duen metodoak direktorioari uzten dio egiaztatzen dezakeena egiaztatzen. Erronka-erantzuna berrikalkulatuz egiaztatzen duen metodoak sekretua bera behar du, zerbitzariak kalkulu bera egin behar duelako.
Materiala falta den lekuan, aukera zintzoak onartutako berrezarpena, berriz erregistratzea, kanpoko egiaztapen-zerbitzua edo metodoa aldatzea dira. Berreskura daitezkeen pasahitzen aldi baterako esportazioa ez dago zerrenda horretan. Proiektuaren aste kaotikoenean testu hutseko kredentzial biltegi bat sortzen du, eta normalean migrazioa baino gehiago irauten du.
Kohorte pilotua, gero bizi-zikloko aldaketak
Eraman onartutako identitateen kohorte txiki bat benetako bezeroarekin, eta probatu lau gauza: saio-hasi berria, nahita okerreko kredentziala, saioak iristeko baimena duen baliabideak, eta iritsi behar ez dituen baliabideak. Egiaztatu bezeroak onartu zuen zerbitzari-identitatea ere, ziurtagiri-izenaren desadostasuna ikusezina baita norbaitek bezeroaren erregistroa irakurtzen duen arte.
Gero praktikatu inplementazioak benetan mendeko dituen aldaketak. Aldatu pasahitz bat, berritu edo berriz erregistratu ziurtagiri bat, eta kendu sarbidea kohorte pilotuko kontu bati. Bakoitzaren ondoren, egiaztatu zein egiaztatzailek kudeatu zuen saiakera, mozketa aurretik sortutako saio batek lanean jarrai baitezake eta ez baitu ezer frogatzen hurrengo saio-hasiari buruz.
Bereizi profilaren hornidura identitate-aldaketatik. Kohorte bakoitzak bere profil aurreikusia, kredentzialaren edo erregistroaren egoera, erabili behar duen autentifikazio-zerbitzua eta laguntza-kontaktu bat behar ditu, eta erregistro horietako inork ez luke sekreturik eduki behar.
Bide zaharrak eta berriak elkarrekin badaude, mugatu amaiera-data batekin. Atzerapauso automatikoak kontu bat sar dezake kredentzial zahar batekin jabe berriak sarbidea kendu ondoren, eta hori erabilgarritasun mozorroko segurtasun-atzera-egitea da.
Atzerapausoak ezin du kredentzialik berreskuratu
Mozketa itzultzeak direktorioa orain dagoen bezala uzten du. Berrezarritako pasahitza berrezarrita geratzen da, baliogabetutako ziurtagiria baliogabetuta geratzen da, eta aldatutako kredentzial formatua aldatuta geratzen da. Direktorioko gertaerak dira, eta pasabidea ez zen inoiz haien iturria. Berreskurapena gertaera bakoitzeko definitu behar da, eta horren ezerk ezin du hash bateraezin batetik sekretua berreraikitzearen mende egon.
Mantendu migratzen ari den konexioa erabiltzen ez duen administrazio-bide bat. Autentifikazio berriak huts egiten duenean, gelditu kohortea eta erabili haren berreskurapen-bide dokumentatua, epea betetzeko guztientzako autentifikazioa ahuldu ordez.
Kohorteak estali ondoren, erretiratu backend zaharreko kredentzialak, profilak eta konfiantza-harremanak haien jabeen bidez. Egiaztatu bide zaharrak ez dituela erabiltzaileak sartzen uzten orain, eta gorde laguntzak oraindik behar duen identitatetik politikara mapatze sekreturik gabea. Migrazioa amaitzen da bizi-ziklo berriak funtzionatzen duenean eta inor ezin denean bide zaharretik sartu, ez kontu-zerrenda osoa dirudienean.