An modh EAP ar dtús: cén hash focal faire is féidir le VPN a úsáid
Fíoraíonn VPN an rún, ní hash an ghréasáin. Léigh an modh, ansin seiceáil cad atá sa stór sula geallann tú go leanfaidh na focail faire chéanna ag obair.
Tá logáil isteach gréasáin ag a lán foirne a oibríonn, agus VPN a dhiúltaíonn gach focal faire ón tábla céanna. Déanann an feidhmchlár gréasáin comparáid idir hash a ríomh sé féin, agus iarrann an tollán ar an gcliant seilbh ar rún a chruthú ar bhealach nach mór don fhreastalaí a bheith in ann a sheiceáil. Is riachtanais éagsúla iad seo ar an ábhar atá stóráilte. San bhearna eatarthu a thagann formhór na dtionscadal seo chun stoptha.
Léigh an modh, ansin an scéimre
Scríobh síos cén cruthúnas a éilíonn an modh roghnaithe sula bhféachann tú ar aon scéimre. Teastaíonn ábhar ó mhodh dúshlán-freagartha as ar féidir leis an bhfreastalaí an freagra a bhfuiltear ag súil leis a ríomh, rud a chiallaíonn go praiticiúil an focal faire nó foirm dhíorthaithe chomhoiriúnach. Teastaíonn an focal faire féin ag an bhfíoraitheoir ó mhodh a iompraíonn focal faire taobh istigh de thollán cosanta. Léigh doiciméadú an mhodha le haghaidh riachtanas an fhíoraitheora seachas le haghaidh cumraíocht an chliaint, mar is iondúil gurb é riachtanais an chliaint an chuid éasca.
Ní sholáthraíonn hash saillte a tháirgeann creat gréasáin nua-aimseartha ceachtar den dá rud. Fíoraíonn sé comparáid amháin ar leith agus ní féidir é a iompú ar ais go dtí an rún ar tháinig sé as.
Ní féidir le dúshlán-freagra hash saillte a úsáid
Is malartú dúshlán-freagartha é MSCHAPv2, mar sin ní fhaigheann an freastalaí an focal faire riamh agus ní féidir leis teaghrán stóráilte a chur i gcomparáid. Caithfidh sé an freagra a bhfuiltear ag súil leis a dhíorthú ó ábhar atá aige cheana, agus is ar an gcúis sin atá na foirmeacha stóráilte comhoiriúnacha chomh cúng sin. Tá luach bcrypt nó Argon2 le saill in aghaidh an úsáideora aonbhealaigh ar bhealach a chuireann an malartú as an áireamh go hiomlán. Tosaíonn an tábla thíos ón bhfoirm stórála seachas ó ainm an mhodha, mar is í an fhoirm stórála a shocraíonn an freagra.
| What the store holds | What that material can verify | What has to change |
|---|---|---|
| A bcrypt or Argon2 value with a per-user salt | nothing challenge-response can use, and not the password either | re-enrol the users, or place a verifying service in front |
| An unsalted NT-hash | MSCHAPv2, and inner PAP through a TLS tunnel | nothing, as long as that store is the verifier |
| A client certificate with a revocation list | EAP-TLS only | move enrolment and revocation to the PKI owner |
Sainmhíníonn doiciméadú breiseán SQL do strongSwan a scéimre féin do chumraíocht agus do dhintiúir, agus marcálann an tionscadal an breiseán sin mar thurgnamhach fós. Ní dhéanann aon rud ann oiriúnú do thábla úsáideoirí feidhmchláir ná ní dhéanann sé buille faoi thuairim cén scéimre haiseála a tháirg luach stóráilte. Is iad na roghanna réalaíocha mar sin ná aistriú chuig stór is féidir leis an ngeata a úsáid, nó seirbhís fhíordheimhnithe os comhair an stóir atá ann cheana a fhéadann an malartú a dhéanamh. Is cónascaire é aon rud eile a bhfuil toimhde cheilte istigh ann.
Bogann RADIUS an obair, ní an riachtanas
Athraíonn tarmligean EAP chuig freastalaí RADIUS an áit a ndéantar fíorú agus feabhsaíonn sé an rian iniúchóireachta de ghnáth. Ní aisghabhann sé focal faire ó hash aonbhealaigh, mar sin teastaíonn ábhar comhoiriúnach leis an modh a chríochnaíonn sé ón tseirbhís fhíordheimhnithe fós. Faigheann foirne amach é seo tar éis dóibh an cosán RADIUS a thógáil agus teacht ar an mballa céanna ag an taobh eile.
San áit is féidir le freastalaí RADIUS eolaire a léamh ina bhfuil dintiúr comhoiriúnach, oibríonn an dearadh agus fanann geata VPN simplí. San áit nach féidir leis, is é an freagra macánta ná athrú clárúcháin seachas cónascaire eile. Baineann soláthar agus cúlghairm leis an té a shealbhaíonn an fhéiniúlacht, mar sin is é atá i dtábla cóipeáilte gan phróiseas sioncronaithe tacaíochta ná dara saolré dintiúr seachas logáil isteach aonair. Imíonn sé ó a chéile an chéad uair a athshocraíonn duine focal faire in aon áit amháin, agus bíonn an t-imeacht ó a chéile ciúin go dtí go n-iompraíonn cuntas atá sa dá chóras go difriúil i ngach ceann.
Cuir teorainn leis an gcuntas a léann an t-eolaire go dtí an léamh sin amháin, agus coinnigh ar leithligh é ón gcuntas a úsáideann an geata dá chumraíocht féin. Iompaíonn cuntas riaracháin comhroinnte dearadh inléamh-amháin ina raon tionchair i bhfad níos leithne.
Cá ar cheart don chuntas a bheith
Nuair a bheidh ceist an ábhair socraithe, fanann dhá ailtireacht. Is féidir leis an ngeata stór beag dintiúr a shealbhú nach léann ach é féin, nó is féidir leis tarmligean chuig seirbhís fhíordheimhnithe a sheasann os comhair eolaire na cuideachta.
Tá an chéad cheann níos éasca le réasúnú agus níos measa don úsáideoir, a chríochnaíonn le dara focal faire le cothabháil. Coinníonn an dara ceann féiniúlacht amháin agus cuireann sé spleáchas le seirbhís nach mór a bheith suas anois sula féidir le haon duine ceangal. Níl ceachtar acu mícheart, ach ba cheart an rogha a thaifeadadh in aice le cumraíocht an gheata, mar mura ndéantar sin glacfaidh an chéad innealtóir eile leis gur roghnaíodh an ceann eile. Cibé rud a roghnaíonn tú, is iad an dá ordú thíos na cinn a thaispeánann an staid reatha sula n-athraíonn tú í.
mysql -N -e "SELECT id, username FROM vpn_users WHERE active = 1 LIMIT 5" vpn
swanctl --list-connsNí shocraíonn fíordheimhniú cuntais an t-údarú ach an oiread. Teastaíonn mapáil shainráite fós ó bhallraíocht ghrúpa, ó staid na gléise agus ó chead an ghréasáin nuair a bheidh an fhéiniúlacht riachtanach cruthaithe ag an úsáideoir. Is toradh beartais é ceangal a fhíordheimníonn go foirfe agus nach n-údaraíonn aon rud, ní locht sa mhodh.