In VPN-brûker registrearje: fyn earst de eigner fan de identiteit

Immen freget om VPN-tagong, en de earste ympuls is om adduser op de tsjinner út te fieren. Dy ympuls is allinnich korrekt yn in smelle set ynstallaasjes. Foardat jo wat oanmeitsje, iepenje de konfiguraasje fan de tsjinner en fyn út hokker produkt dêr rint en wêr't it bewizen falidearret, want it akkount kin yn in produktdatabank, by in identiteitsprovider of yn 'e eigen autentikaasjesteapel fan 'e host wenje. It ferkearde soarte akkount oanmeitsje lit de persoan efter mei in wurkjende oanmelding en sûnder tunnel.

In klantprofyl dat OpenVPN seit, beskriuwt it protokol, net it identiteitssysteem dêrefter.

Begjin by de tsjinner, net by adduser

Identifisearje earst it produkt. Community OpenVPN is de daemon plus alle autentikaasje dy't jo deroan koppele hawwe, wylst Access Server in produkt is mei syn eigen brûkerslaach. Freegje om de konfiguraasje, de namme fan 'e ienheid en de pakketlist, en kontrolearje oft der in webynterface foar brûkersbehear is. Sjoch dan hoe't it útrôle profyl ferwachtet dat klanten bewize wa't se binne: in sertifikaat, in brûkersnamme en wachtwurd, of beide. Dat antwurd neamt it systeem dat it akkount besit.

Pas dêrnei betsjut de útdrukking de brûker oanmeitsje wat. Yn in ynstallaasje mei allinnich sertifikaten betsjut it it útjaan fan in apparaatidentiteit fia it goedkarde proses, en in Unix-aanmelding feroaret neat. Yn in wachtwurdynstallaasje betsjut it de backend dy't it wachtwurd echt falidearret.

Fjouwer backends, fjouwer plakken om it akkount te meitsjen

De lokale autentikaasje fan Access Server hâldt akkounts yn syn eigen databank, dus de ynterface om se te meitsjen heart by it produkt, net by de host. PAM delegetet falidaasje oan 'e steapel fan it bestjoeringssysteem, en dêrom kin in lokale Unix-akkount diel wêze fan 'e registraasje as de tsjinst krekt dy steapel keazen hat. LDAP, RADIUS en SAML ferpleatse falidaasje nei in eksterne tsjinst, dêr't provisioning, wachtwurdbelied en MFA wenje. Access Server kin yn alle fjouwer gefallen noch sertifikaten en rjochten per brûker hâlde, en dat is wat de splitsing betiizjend makket.

Kontrolearje de effektive metoade foar dizze spesifike brûker ynstee fan 'e globale standert. Access Server 2.10 en letter kinne ferskillende autentikaasjemetoaden per groep of per brûker tapasse, dus in lokale standert bewiist net dat it akkount foar jo lokaal falidearre wurdt.

Rjocht is in aparte beslissing

Autentikaasje antwurdet wa't de persoan is; rjocht antwurdet wat dy berikke mei. Hâld se as twa stappen, want in slagge oanmelding is gjin talitting. Jou de bedoelde rûtes, boarnerjochten en bestjoerlike rjochten bewust ta en befêstigje dat net-relatearre tagong wegere bliuwt. Dêr't de ynstallaasje yndividuele identiteiten stipet, jou ien per persoan út ynstee fan it profyl fan in oar troch te stjoeren, want in dield profyl kin net foar ien persoan allinnich weromlutsen wurde.

It klantmateriaal is ek wichtich. In profyl mei automatyske oanmelding en in ynteraktive brûkersoanmelding fertsjintwurdigje ferskillende autentikaasjerelaasjes, en it iene foar it oare ruilje feroaret wat de tsjinner echt ferifiearret.

Tagong weromlûke is diel fan 'e registraasje

Skriuw trije eigners op wylst de brûker oanmakke wurdt: wa't it akkount falidearret, wa't de VPN-tagong autorisearret en hokker apparaat of profyl de ferbining fertsjintwurdiget. Dat kinne trije ferskillende systemen wêze, en in weromlûkingsplan dat mar ien fan har neamt lit in paad iepen. As de persoan fuortgiet, helje it rjocht by syn eigner wei en lûk elk útjûn bewiisstik by syn eigner werom. It wiskjen fan in download bestân is gjin weromlûking, en it wiskjen fan in lokale ynfier ek net as in eksterne identiteit noch autentisearret.

Test de registraasje dan sa't in oanfaller it dwaan soe: ferbyn ien kear mei de nije identiteit, befêstigje tagong ta de bedoelde boarne en befêstigje dat in net-relatearre boarne noch wegeret. In earste ferbining dy't wurket plus in negative test is in foltôge registraasje.

Bewarje it record by it profyl dêr't it by heart. De folgjende auditor sil freegje wa't yn in opjûne moanne ferbine koe, en it antwurd leit yn dy trije eigners.