VPN-oanmeldarkennisjouwings: hokker barren moat se eins triggerje?
Suksesfolle ferifikaasje, in oanleine tunnel en in RADIUS accounting Start binne trije ferskillende bewearings. Kies dejinge dêr't jo ûntfanger wat mei kin, en korrelearje se dan.
Suksesfolle ferifikaasje, in oanleine tunnel en in RADIUS accounting Start binne trije ferskillende bewearings, en in oanmeldingsmail betsjut pas wat as jo ien dêrfan kieze. De measte VPN-kennisjouwingsûntwerpen minge alle trije trochinoar en meitsje in postfek dat nimmen fertrout. De beslissing hinget derfan ôf wa't de kennisjouwing lêst en wat dy persoan yn ’e folgjende fiif minuten dwaan kin. Dochst dat ferkeard, dan wurdt de kennisjouwing lûd dat it iene barren ferberget datst nedich hiest.
Trije fragen beslisse de trigger
Freegje wa't it krijt, wat dy dwaan sil, en hoe fluch de aksje barre moat. In feilichheidsteam dat op misbrûk fan oanmeldgegevens let, wol in patroan fan mislearring en dan sukses fan ien akkount binnen minuten. In operaasjeteam dat kapasiteit folget, wol sesjeduor en redens foar ôfbrekken, net oanmeldingen. In helpdesk wol de sesje-identiteit om it oan in ticket keppelje te kinnen.
Dy antwurden wize nei ferskillende barrens, en gjin inkele regel foldocht oan alle trije. As de aksje fan ’e ûntfanger «bel de brûker» is, is ferifikaasje genôch. As de aksje «meitsje in lisinsje frij» of «kontrolearje oft de tunnel ferkear droech» is, sil allinnich oanlizzen of accounting Start wurkje. As de aksje «fakturearje de tiid» is, hast Stop-records nedich ynstee fan in oanmelding.
Skriuw it antwurd as ien sin foardatst eat konfigurearrest. «Dizze mail fertelt de tsjinstynsjinner dat akkount X in tunnel fan netwurk Y op tiid Z iepene hat, sadat er kontrolearje kin oft it ûnderhâldsfinster brûkt is.» Asst net elk fak folje kinst, is de trigger noch net keazen.
Keppelje it barren oan ’e bewearing dy'tst makkest
| Record | What it proves | What it leaves open |
|---|---|---|
| Rejected credentials | The attempt failed at the credential step | Whether it was a stale client or a real person |
| Access-Accept | Credentials passed for this attempt | Anything about tunnel state or policy |
| Policy match record | A rule matched the request | Whether later steps completed |
| Tunnel established | The gateway accepted a session | Whether traffic flowed or the user got an address |
| Accounting Start | User service began at the accounting layer | Whether the application behind it worked |
| Accounting Stop | That session was closed, with a reason field | Whether the reason is meaningful on your release |
De tabel ferberget in ôfhinklikens: elke rige is allinnich betrouber as it gateway it betrouber útstjoert en dyn samler it fjild hâldt datst nedich hast. Lês de barrensdefinysje foar de krekte ferzje dy'tst draaist, want de namme «sesje oanlein» feroaret tusken ferzjes en de betsjutting feroaret faker as de namme. As in definysje ûndúdlik is, freegje om in sesje-opname ynstee fan te rieden út it label.
In Access-Accept behannelje as de foltôging fan alles dêrnei is de meast foarkommende flater. It is in oardiel oer oanmeldgegevens, net in sesje. De spegelbyldflater is in beliedstreffer lêze as bewiis fan autorisaasje, wylst in regel treffe kin en de folgjende stap dochs mislearje kin.
Ien sesje, ien notifikaasje
Ien akkount, ferskate apparaten, opnij ferstjoeren en opnij ferbinen: in mail per barren sil yn beide rjochtingen ferkeard wêze, ien sesje dûbelje wylst in oare splitst. Meitsje de notifikaasje as kaai op it gateway plus in sesje-identifikator, en behannelje de akkountnamme as in attribút ynstee fan ’e kaai. In brûker mei in laptop en in tillefoan kin twa tunnels tagelyk hâlde, en beide fertsjinje har eigen rigel.
Opnij ferstjoerde boekhâldingsrecords binne normaal, dus dûbelje op ’e sesje-id en tiidstimpel foardatst it berjocht werjaanst. Opienfolgjende sesjes fan itselde apparaat moatte apart bliuwe, en in opnij ferbinen yn in ûnderhâldsfinster moat sichtber bliuwe ynstee fan yn ’e foarige te fallen. As dyn samler tiidstimpels by yngong oerskriuwt, dûbelje dan op ’e fjilden fan it oarspronklike record, net op ’e bewarre.
In ûntbrekkend Stop-record is ûnwisheid, net in permaninte sesje. Gateway-herstarten, samler-ûnderbrekken en UDP-ferlies litte allegear gatten, dus de kennisjouwing hat in fermoedenspaad nedich dat de libbene sesjetabel befreget foardat immen konkludearret dat in tunnel noch oan is.
Hâld audit en notifikaasje apart
De auditstream en de warskôgingsstream hawwe ferskillende taken. Hâld de rouwe records, ynklusyf akkount, gateway, sesje-id, tiidstimpels en reden fan beëiniging, sels as routine-mails groepearre, ûnderdrukt of nei in lyts opropsslist stjoerd wurde. In earnstichheidsdrompel is in leveringsfilter, net in kar fan it libbenssyklusbarren datst oankundigje woe.
Stjoer de minimale kontekst dy't de ûntfanger nedich hat om it beskerme record te finen. Akkountnammen, ynterne adressen en sesjedetails binne gefoelich, en in mail dy't goed trochstjoerd wurdt is in mail dy't goed lekt.
Bewiis it dan fan begjin oant ein. Draai in normale oanmelding en ôfmelding, in opnij ferbinen, twa tagelyk sesjes en in twongen leveringsflater, en folgje ien barren fan it gateway troch de samler nei it levere berjocht. As de mail sûnder sesje-id oankomt, is it kontrakt ûnfolslein. As twa mails ien sesje beskriuwe, is de korrelaasje brutsen. Gjin fan beide problemen docht bliken as it iennige datst testest is dat mailleverings wurket.