Zerbitzu-kontuaren VPN sarbidea: ziurtagiria edo saio-hasiera partekatua

Bi diseinuk estaltzen dituzte ia gainbegiratu gabeko VPN konfigurazio guztiak: script batean gordetako giza saio-hasiera partekatua edo hostera lotutako makina-ziurtagiria. Toki desberdinetan huts egiten dute, eta horrek konfigurazioaren abiadurak baino gehiago axola du. Gordetako pasahitz bat hausten da jabeak aldatzen duenean edo joaten denean; ziurtagiri bat hausten da iraungitzen denean edo host-a gako gabe berreraikitzen denean. Hiru baldintzak erabakitzen dute zein kostu jasan dezakezun, eta bi diseinuek ez dute ezer mugatzen baimen-politikak egin arte.

Hasi zereginetik, ez kontutik

Zereginak muga zehazten du: zein helmuga, zein zerbitzu, zein ordu, zenbat iraun dezakeen saio batek. Tunel-bide bat muga horren erdia baino ez da. Ateak saioa onartuta dagoen erabakitzen du; atzean dagoen baliabideak saioak zer egin dezakeen erabakitzen du. Idatzi zerrenda lehenik, izendatutako jabe batekin, bi identitate-diseinuek bete behar baitute.

Eduki autentifikazioa eta baimena bereizita hori idazten duzun bitartean. Autentifikazioak erantzuten du nork konektatzen duen; baimenak erantzuten du saioak gero zer har dezakeen. RADIUSek bigarren zatia atributu gisa eramaten du, hala nola Filter-Id, Framed-IP-Address, Session-Timeout eta Class, eta atea horiei eransten die saio-hasiera lortu ondoren. Saio-hasiera trukatu eta baimena ukitu gabe uzten duen diseinuak ez du ezer mugatu.

Giza saio-hasiera partekatua: pasahitza muga bihurtzen da

Giza kontu bat berrerabiltzea biderik azkarrena da eta okerren zahartzen dena. Kredentziala pasahitz bat da, beraz script batean, ingurune-fitxategi batean eta planifikatzailearen konfigurazioan amaitzen da, eta kopia bakoitzak errotazioa behar du. Jabeak ostiralean aldatzen duenean, lanak hurrengo exekuzioan huts egiten du eta inor ez dago begira.

MFA da diseinu hau normalean erortzen den tokia. Script batek ezin du push eskaera bati erantzun, beraz kontua politikaetik kanporatzen da, eta hori da erasotzaile batek aukeratuko lukeen kontua hain zuzen. Salbuespenak, kokapen fidagarrien saihesbideak eta kontuko salbuespenak ugaltzen dira, eta horietako bat bera ere ez da ikusgai maizterren ezarpenak irakurtzen dituen hurrengo pertsonarentzat.

Esleipena da beste kostua. Atearen erregistroko saio bakoitzak erabiltzaile-izen bera darama, beraz gaueko sinkronizazioa ezin da bereizi idatzi zuen pertsonaren lanetik, eta lana baliogabetzeak pertsona hori baliogabetzea esan nahi du.

Makina-ziurtagiria: hostera lotutako identitatea

Ziurtagiri batek galdera aldatzen du: kontuak zer dakienera ez, host-a zer den. EAP-TLS-rekin bezeroak ziurtagiri bat aurkezten du eta dagokion gako pribatuaren jabetza frogatzen du; politika-zerbitzariak subjektua edo ordenagailu-kontua talde batera mapatzen du eta talde horretarako politika aplikatzen du. Eskaerarik ez, testu-fitxategi batean zetzan sekretu partekaturik ez.

Sortzen duen muga jendeak espero duena baino estuagoa da. Ziurtagiri batek host-a autentifikatzen du, ez zeregina, eta root edo administrari lokalaren eskubideak dituen edonork erabil dezake gako hori host horretan. Gorde gakoa plataformak babesten duen tokian: esportatu ezina Windows ziurtagiri-biltegian, TPM bidez babestua profilak uzten duen tokian, edo root-en jabetzako 0600 fitxategi bat Linuxen. Host-a konprometitzea kredentziala konprometitzea da.

Iraungitzea da behin eta berriro gertatzen den hutsegitea. Igandean iraungitzen den ziurtagiri batek igandean gelditzen du lana, eta ateak autentifikazio-hutsegite orokorra ematen du normalean data izendatu beharrean. Egiaztatu datak lanaren host-etik runbookaren zati gisa:

openssl x509 -in client.pem -noout -subject -issuer -dates
ipsec listcerts

Baliogabetzeak ateak egiaztatzen duen bide bat behar du. OpenVPN CRL bat irakurtzen du crl-verify aukeraren bidez, eta strongSwanek CRL edo OCSP-ren mende dago konexio-profila nola eraikita dagoen. Biak konektatuta ez badaude, host bat kentzeak ziurtagiria iraungi arte itxarotea esan nahi du.

Haien artean erabakitzen duten hiru baldintza

Egin alderaketa duzun plataformaren aurka, ez erreferentziazko diseinu baten aurka.

Lehen baldintza: atea gai da makina-identitate bat baimenatzeko? RADIUS erabiltzaile-izen bat direktorio-erabiltzaile batera soilik mapatzen badu, ziurtagiri batek host-a autentifikatzen du eta gero baimenean trabatzen da. Bigarren baldintza: lanak erabiltzaile-kontu batek bakarrik dakarren baliabide-sarbidea behar du, hala nola muntatutako partekatze bat edo eserleku bakoitzeko lizentzia bat? Orduan makina-identitateak ezin du ordezkatu, eta erantzun zintzoa politika mugatua duen erabiltzaile-kontu dedikatu bat da. Hirugarren baldintza: nork errotatu dezake kredentziala begiztan pertsona bat egon gabe? Erregistro automatikoak ziurtagiriak merke mantentzen ditu; pertsona batek dakien pasahitz batek ez.

Irakurri taula kostuen zerrenda gisa, ez sailkapen gisa. Gordetako sekretuaren zutabeak irabazten du baliogabetze-abiaduran eta erabiltzaile-kontuak bakarrik ulertzen dituzten baliabideekin bateragarritasunean; ziurtagiriaren zutabeak irabazten du errotazioan eta script bat funtziona dezan MFA ahuldu ez izan horretan.

Jarri muga politikan, autentifikazioaren ondoren

Aukeratzen duzun identitatea edozein dela ere, baimen-muga autentifikazioaren ondoren exekutatzen den politikari dagokio. NPSn sare-politikak ordenan ebaluatzen dira eta baldintza guztiak betetzen dituen lehen politikak aplikatzen ditu bere ezarpenak, beraz politika zabal bat estu baten gainean jarrita emaitza erabakitzen du bezeroak zer aurkezten duen edozein dela ere. Microsoftek baldintza eta ezarpen eredua dokumentatzen du bere NPS politiken ikuspegian.

Eman lanari bere taldea edo politika-baldintza, makina-identitateak daraman zerbaitetan oinarrituta: ziurtagiri-txantiloi bat, dei-estazioaren identifikatzaile bat edo multzo dedikatu bateko helbide bat. Gero mugatu saioa atributuekin: Filter-Id bat zure ateak mapatzen duen rolerako, Session-Timeout labur bat trabatutako lanak berriro autentifika dezan egunetan saio bat mantendu ordez, eta Framed-IP-Address bat beste aldean suebakiarekin filtratzen duzun multzo batetik. Aplikazioen baimena bereizita geratzen da: datu-base zerbitzari baterako tunel bat ez da haren barruko taula bat irakurtzeko baimena.

Egiaztatu ukoak, gero planifikatu kentzea

Funtzionatzen duen sarbideak ez du ezer frogatzen gutxieneko pribilegioari buruz. Probatu ukoak horren ordez: konektatu lanaren identitatearekin eta saiatu zerrendatik kanpoko helmuga batera iristen, ireki bigarren saio paralelo bat ateak bakarra onartu behar badu, eta errepikatu saio-hasiera kredentziala baliogabetu ondoren.

Gero berretsi saio bera bi tokitan. Atearen erregistroak autentifikatu den identitatea erakusten du; politika-zerbitzariaren erregistroak zein politika bat etorri zen eta zein atributu itzuli zituen erakusten du. OpenVPNn zerbitzariak ziurtagiriaren izen arrunta erregistratzen du, eta strongSwanen ipsec statusall-ek ezarritako tunela inprimatzen du erabiltzen ari den identitatearekin. Bi erregistroak identitateari buruz bat ez badatoz, politika zu suposatzen ari zarenaz bestelako zerbaiti dagokio.

Kentzea diseinuaren parte da, ez garbiketa-sprint batena. Idatzi ezabatu behar den guztia (ziurtagiria edo kontua, taldeko kidetza, sare-politika, multzoko sarrera, helburuko suebaki-araua) eta exekutatu behin lana erraz berreraikitzen den bitartean.

Gaur hasten bazara, lan egin ordena honetan: idatzi baliabide-zerrenda, aukeratu identitatea hiru baldintzekin, jarri muga politikan, eta praktikatu uko bat lana abian jarri aurretik.