VPN erabiltzailea erregistratzea: lehenik identitatearen jabea aurkitu

Norbaitek VPN sarbidea eskatzen du, eta lehen bulkada zerbitzarian adduser exekutatzea da. Bulkada hori zuzena da hedapen-multzo estu batean soilik. Ezer sortu aurretik, ireki zerbitzariaren konfigurazioa eta jakin zein produktuk egiten duen lan han eta non baliozkotzen dituen kredentzialak, kontua produktuaren datu-basean, identitate-hornitzailean edo ostalariaren autentifikazio-pilan bizi baitaiteke. Okerreko kontu-mota sortzeak pertsona saio-hasiera funtzionalarekin eta tunelik gabe uzten du.

OpenVPN dioen bezero-profilak protokoloa deskribatzen du, ez atzean dagoen identitate-sistema.

Hasi zerbitzaritik, ez adduser-etik

Identifikatu produktua lehenik. Community OpenVPN daemon-a da gehi berari konektatu diozun autentifikazioa, eta Access Server erabiltzaile-geruza propioa duen produktua da. Eskatu konfigurazioa, unitatearen izena eta pakete-zerrenda, eta egiaztatu ea web interfaze bat dagoen erabiltzaileak kudeatzeko. Ondoren, begiratu nola espero duen inplementatutako profilek bezeroek nor diren frogatzea: ziurtagiria, erabiltzaile-izena eta pasahitza, edo biak. Erantzun horrek kontuaren jabea den sistema izendatzen du.

Hori eta gero bakarrik du zentzurik erabiltzailea sortzea esaldiak. Ziurtagirietan soilik oinarritutako hedapen batean, gailu-identitatea prozesu onartuaren bidez jaulkitzea esan nahi du, eta Unix saio-hasierak ez du ezer aldatzen. Pasahitzean oinarritutako hedapen batean, pasahitza benetan baliozkotzen duen backend-a esan nahi du.

Lau backend, kontua sortzeko lau leku

Access Server-en autentifikazio lokalak bere datu-basean gordetzen ditu kontuak, beraz haiek sortzeko interfazea produktuarena da, ez ostalariarena. PAM-ek baliozkotzea sistema eragilearen pilaren esku uzten du, eta horregatik tokiko Unix kontua erregistratzearen parte izan daiteke zerbitzuak pila hori hautatu duenean. LDAP, RADIUS eta SAML-ek kanpoko zerbitzu batera eramaten dute baliozkotzea, non hornikuntza, pasahitz-politika eta MFA bizi diren. Access Server-ek lau kasuetan erabiltzaile bakoitzeko ziurtagiriak eta baimenak gorde ditzake, eta horrek egiten du zatiketa nahasgarri.

Egiaztatu erabiltzaile zehatz honentzako metodo eraginkorra, eta ez balio lehenetsi globala. Access Server 2.10 eta berriagoek talde edo erabiltzaile bakoitzeko autentifikazio-metodo desberdinak aplika ditzakete, beraz tokiko balio lehenetsiak ez du frogatzen aurrean duzun kontua tokian bertan baliozkotzen denik.

Eskubidea erabaki bereizia da

Autentifikazioak pertsona nor den erantzuten du; eskubideak zer irits dezakeen erantzuten du. Eduki itzazu bi urrats gisa, saio-hasiera arrakastatsua ez baita emate bat. Eman aurreikusitako ibilbideak, baliabide-baimenak eta administrazio-eskubideak nahita, eta berretsi loturarik gabeko sarbideak ukatuta jarraitzen duela. Hedapenak identitate indibidualak onartzen dituenean, eman bat pertsona bakoitzeko beste baten profila birbidaltzearen ordez, partekatutako profila ezin baita pertsona bakar batentzat erretiratu.

Bezeroaren materiala ere garrantzitsua da. Saio-hasiera automatikoko profileak eta erabiltzailearen saio-hasiera interaktiboak autentifikazio-harreman desberdinak adierazten dituzte, eta bat bestearekin trukatzeak zerbitzariak benetan zer egiaztatzen duen aldatzen du.

Sarbidea erretiratzea erregistratzearen parte da

Idatzi hiru jabe erabiltzailea sortzen ari den bitartean: nork baliozkotzen duen kontua, nork baimen duen VPN sarbidea eta zein gailuk edo profilek adierazten duen konexioa. Hiru sistema desberdin izan daitezke, eta horietako bat baino izendatzen ez duen baliogabetze-planak bide bat irekita uzten du. Pertsona joaten denean, kendu eskubidea bere jabeari eta erretiratu jaulkitako kredentzial bakoitza bere jabearen esku. Deskargatutako fitxategi bat ezabatzea ez da erretiratzea, eta tokiko sarrera bat ezabatzea ere ez, kanpoko identitate bat oraindik autentifikatzen bada.

Ondoren probatu erregistratzea eraso egile batek egingo lukeen bezala: konektatu behin identitate berriarekin, berretsi aurreikusitako baliabiderako sarbidea eta berretsi loturarik gabeko baliabide batek ukatzen jarraitzen duela. Funtzionatzen duen lehen konexio bat gehi proba negatibo bat erregistratze osatua da.

Gorde erregistroa dagokion profilekin. Hurrengo auditoriak galdetuko du nork konekta zitekeen hilabete jakin batean, eta erantzuna hiru jabe horietan dago.