Serviceaccount VPN-toegang: sertifikaat of dielde oanmelding
Fergelykje in masinesertifikaat mei in bewarre wachtwurd foar tafersjochfrije VPN-toegang, en set de echte tastimminggrins yn it belied dat nei oanmelding rint.
Twa ûntwerpen dekke hast elke tafersjochfrije VPN-ynstelling: in dielde minsklike oanmelding dy't yn in skript bewarre wurdt, of in masinesertifikaat dat oan de host bûn is. Se falle op ferskillende plakken, en dat is wichtiger as de ynstelsnelheid. In bewarre wachtwurd brekt as de eigner it feroaret of fuortgiet; in sertifikaat brekt as it ferrint of as de host sûnder de kaai opnij boud wurdt. Trije betingsten beslisse hokker kosten jo drage kinne, en gjin fan beide ûntwerpen beheint eat oant it autorisaasjebelied dat docht.
Begjin by de taak, net by it akkount
De taak definiearret de grins: hokker bestimmingen, hokker tsjinsten, hokker oeren, hoe lang in sesje rinne mei. In tunnelrûte is mar de helte fan dy grins. It gateway beslút oft de sesje tastien is; de boarne der achter beslút wat de sesje dwaan kin. Skriuw earst de list, mei in neamde eigner, want beide identiteitsûntwerpen moatte deroan foldwaan.
Hâld autentikaasje en autorisaasje apart wylst jo it skriuwe. Autentikaasje antwurdet wa't ferbynt; autorisaasje antwurdet wat de sesje dêrnei berikke mei. RADIUS draacht it twadde part as attributen lykas Filter-Id, Framed-IP-Address, Session-Timeout en Class, en it gateway foeget se ta sadree't de oanmelding slagget. In ûntwerp dat de oanmelding ferwikselet en autorisaasje allinnich lit, hat neat beheind.
Dielde minsklike oanmelding: it wachtwurd wurdt de grins
In minsklik akkount wergebrûke is it fluchste paad en it paad dat it minst âld wurdt. De legitimasaasje is in wachtwurd, dus it bedarret yn in skript, in omjouwingsbestân en in plannerkonfiguraasje, en elke kopy moat rotearre wurde. As de eigner it op in freed feroaret, falt de taak by de folgjende run út en nimmen sjocht.
MFA is it plak dêr't dit ûntwerp meastentiids ynstoart. In skript kin gjin push-fraach beäntwurdzje, dus it akkount wurdt fan it belied útsletten, en dat is krekt it akkount dat in oanfaller kieze soe. Utsûnderingen, omgongen fan fertroude lokaasjes en frijstellings per akkount fermannichfâldigje, en gjin ien is sichtber foar de folgjende persoan dy't de hiermersynstellingen lêst.
Taskriuw is de oare kosten. Eltse sesje yn it gatewaylogboek draacht deselde brûkersnamme, dus de nachtlike syngronisaasje is net te ûnderskieden fan it wurk fan 'e persoan dy't it skreau, en it yntrekken fan de taak betsjut it yntrekken fan dy persoan.
Masinesertifikaat: identiteit bûn oan de host
In sertifikaat feroaret de fraach fan wat it akkount wit nei wat de host is. Mei EAP-TLS lit de klant in sertifikaat sjen en bewiist besit fan 'e oerienkommende priveekaai; de beliedsserver mapet it ûnderwerp of it kompjûterakkount nei in groep en past it belied foar dy groep ta. Gjin fraach, gjin dield geheim dat yn in tekstbestân sit.
De grins dy't it makket is smeller as minsken ferwachtsje. In sertifikaat autentisearret de host, net de taak, en elkenien mei root- of lokale administratorrjochten kin dy kaai op dy host brûke. Hâld de kaai dêr't it platfoarm it beskermet: net-eksportearber yn 'e Windows-sertifikaatopslach, TPM-stipe dêr't it profyl it talit, of in root-eigene 0600-bestân op Linux. Kompromittearjen fan de host is kompromittearjen fan 'e legitimasaasje.
Ferrin is de weromkommende flater. In sertifikaat dat op in snein ferrint stopet de taak op snein, en it gateway rapportearret meastentiids in algemiene autentikaasjeflater ynstee fan 'e datum te neamen. Kontrolearje de datums fan 'e taakhost as ûnderdiel fan it runbook:
openssl x509 -in client.pem -noout -subject -issuer -dates
ipsec listcertsYntrekken hat in paad nedich dat it gateway kontrolearret. OpenVPN lêst in CRL fia de opsje crl-verify, en strongSwan hinget ôf fan CRL of OCSP neffens hoe't it ferbiningsprofyl boud is. As gjin fan beide oansletten is, betsjut it fuortheljen fan in host wachtsje oant it sertifikaat ferrint.
Trije betingsten dy't tusken har beslisse
Fergelykje mei it platfoarm dat jo hawwe, net mei in referinsjeûntwerp.
Earste betingst: kin it gateway in masine-identiteit autorisearje? As it allinnich in RADIUS-brûkersnamme oan in mapbrûker mapet, autentisearret in sertifikaat de host en stûket dan by autorisaasje. Twadde betingst: hat de taak boarnebefêstiging nedich dy't allinnich in brûkersakkount draacht, lykas in mapte share of in lisinsje per sit? Dan kin in masine-identiteit net ferfange, en it earlike antwurd is in taweard brûkersakkount mei in beheind belied. Tredde betingst: wa kin de legitimasaasje rotearje sûnder in persoan yn 'e lus? Automatyske ynskriuwing makket sertifikaten goedkeap te hâlden; in wachtwurd dat ien persoan ken net.
| Constraint | Machine certificate | Dedicated user account with stored secret |
|---|---|---|
| Unattended login | Private key proof, no prompt | Only if the account is exempted from MFA |
| Resource expects a user identity | Works only when the resource accepts computer accounts | Matches the access a person would have |
| Rotation | Re-enrollment, often automated | Secret change plus redeploy of every copy |
| Revocation speed | Tied to CRL or OCSP refresh | Disable the account, immediate |
Lês de tabel as in kostenlist, net as in ranglist. De kolom fan it bewarre geheim wint op yntreksnelheid en op kompatibiliteit mei boarnen dy't allinnich brûkersakkounts ferstean; de kolom fan it sertifikaat wint op rotaasje en op it net ferswakjen fan MFA om in skript wurkje te litten.
Set de grins yn it belied, nei autentikaasje
Hokker identiteit jo ek kieze, de tastimminggrins heart by it belied dat nei autentikaasje rint. Yn NPS wurde netwurkbeliedens op folchoarder beoardiele en it earste belied dat elke betingst matcht past syn ynstellingen ta, dus in breed belied boppe in smel belied beslút it resultaat, hoe't de klant it ek presintearret. Microsoft dokumintearret it betingst- en ynstellingsmodel yn syn oersjoch fan NPS-beliedens.
Jou de taak syn eigen groep of beliedsbetingst, basearre op eat dat de masine-identiteit draacht: in sertifikaatsjabloan, in identifikaasje fan it oanroppende stasjon, of in adres út in taweard pool. Behein dan de sesje mei attributen: in Filter-Id foar de rol dêr't jo gateway it nei mapet, in koarte Session-Timeout sadat in fêstrûne taak him opnij autentisearret ynstee fan dagenlang in sesje te hâlden, en in Framed-IP-Address út in pool dêr't jo oan 'e oare kant firewall op tapasse. Tapassingsautorisaaasje bliuwt apart: in tunnel nei in databankserver is gjin tastimming om in tabel der yn te lêzen.
Kontrolearje wegerings, plan dan it fuortheljen
Tagong dy't wurket bewiist neat oer it minste foarrjocht. Test de wegerings ynstee: ferbyn mei de taakidentiteit en besykje in bestimming bûten de list te berikken, iepenje in twadde tagelykse sesje as it gateway mar ien tastean mei, en werhelje de oanmelding nei't de legitimasaasje yntrokken is.
Befêstigje dan deselde sesje op twa plakken. It gatewaylogboek lit de identiteit sjen dy't autentisearre; it logboek fan 'e beliedsserver lit sjen hokker belied oerienkaam en hokker attributen it weromjoech. Op OpenVPN registrearret de server de gewoane namme fan it sertifikaat, en ipsec statusall op strongSwan prints it oprjochte tunnel mei de identiteit yn gebrûk. As de twa logboeken it oer de identiteit net iens binne, matcht it belied eat oars as jo oannimme.
Fuortheljen heart by it ûntwerp, net by in oprommesprint. Skriuw alles op dat fuort moat (sertifikaat of akkount, groepslidmaatskip, netwurkbelied, poolynfier, firewallregel op it doel) en fier it ien kear út wylst de taak maklik opnij te bouwen is.
As jo hjoed begjinne, wurkje dan yn dizze folchoarder: skriuw de boarnelist, kies de identiteit mei de trije betingsten, set de grins yn it belied, en oefenje ien wegering foardat de taak yn produksje giet.