Rochtain VPN le cuntas seirbhíse: deimhniú nó logáil isteach roinnte

Clúdaíonn dhá dhearadh beagnach gach socrú VPN gan mhaoirseacht: logáil isteach daonna roinnte a choinnítear i script, nó deimhniú meaisín atá ceangailte leis an óstach. Teipeann siad in áiteanna éagsúla, rud atá níos tábhachtaí ná luas an tsocraithe. Bristear pasfhocal stóráilte nuair a athraíonn a úinéir é nó nuair a fhágann sé; bristear deimhniú nuair a théann sé in éag nó nuair a atógáiltear an t-óstach gan an eochair. Cinneann trí choinníoll cén costas is féidir leat a iompar, agus ní chuireann ceachtar dearadh teorainn le haon rud go dtí go ndéanann an polasaí údaraithe é.

Tosaigh ón tasc, ní ón gcuntas

Sainmhíníonn an tasc an teorainn: cé na cinn scríbe, cé na seirbhísí, cé na huaireanta, cá fhad a fhéadfaidh seisiún maireachtáil. Níl i mbealach tolláin ach leath na teorann sin. Cinneann an geata an bhfuil an seisiún ceadaithe; cinneann an acmhainn taobh thiar de cad is féidir leis an seisiún a dhéanamh. Scríobh an liosta ar dtús, le húinéir ainmnithe, mar caithfidh an dá dhearadh aitheantais é a shásamh.

Coinnigh fíordheimhniú agus údarú scartha agus tú ag scríobh. Freagraíonn fíordheimhniú cé atá ag nascadh; freagraíonn údarú cad is féidir leis an seisiún a bhaint amach ina dhiaidh. Iompraíonn RADIUS an dara cuid mar thréithe ar nós Filter-Id, Framed-IP-Address, Session-Timeout agus Class, agus ceanglaíonn an geata iad nuair a éiríonn leis an logáil isteach. Níor theorannaigh dearadh a mhalartaíonn an logáil isteach agus a fhágann an t-údarú gan teagmháil aon rud.

Logáil isteach daonna roinnte: is é an pasfhocal an teorainn

Is é athúsáid cuntas daonna an bealach is tapúla agus an ceann is measa a théann in aois. Is pasfhocal an creidiúnaí, mar sin críochnaíonn sé i script, i gcomhad timpeallachta agus i gcumraíocht sceidealóra, agus teastaíonn rothlú ó gach cóip. Nuair a athraíonn an t-úinéir é ar an Aoine, teipeann ar an tasc ag an gcéad rith eile agus níl aon duine ag faire.

Is ag MFA a thiteann an dearadh seo de ghnáth. Ní féidir le script freagra a thabhairt ar iarratas push, mar sin fágfar an cuntas as an bpolasaí, agus sin go díreach an cuntas a roghnódh ionsaitheoir. Méadaíonn eisceachtaí, seachbhealaí suímh iontaofa agus díolúintí de réir cuntais, agus níl aon cheann acu le feiceáil don chéad duine eile a léann socruithe an tionónta.

Is é an t-adscriobh an costas eile. Iompraíonn gach seisiún i loga an gheata an t-ainm úsáideora céanna, mar sin ní féidir an sioncrónú oíche a dheighilt ó obair an duine a scríobh é, agus ciallaíonn cúlghairm an taisc cúlghairm an duine sin.

Deimhniú meaisín: aitheantas ceangailte leis an óstach

Athraíonn deimhniú an cheist ón rud atá ar eolas ag an gcuntas go dtí cad é an t-óstach. Le EAP-TLS cuireann an cliant deimhniú i láthair agus cruthaíonn sé seilbh ar an eochair phríobháideach chomhfhreagrach; mapálann an freastalaí polasaí an t-ábhar nó an cuntas ríomhaire chuig grúpa agus cuireann sé polasaí an ghrúpa sin i bhfeidhm. Gan iarratas, gan rún roinnte ina luí i gcomhad téacs.

Tá an teorainn a chruthaíonn sé níos cúinge ná mar a bhíonn súil ag daoine. Fíordheimhníonn deimhniú an t-óstach, ní an tasc, agus féadfaidh aon duine a bhfuil cearta root nó riarthóra áitiúil aige an eochair sin a úsáid ar an óstach sin. Coinnigh an eochair san áit a gcosnaíonn an t-ardán í: neamh-inmheartaithe i stór deimhnithe Windows, le tacaíocht TPM san áit a gceadaíonn an próifíl, nó comhad 0600 ar le root é ar Linux. Is é comhréiteach an óstaigh comhréiteach an chreidiúnaí.

Is é an t-éag an teip athfhillteach. Stopann deimhniú a théann in éag Dé Domhnaigh an tasc Dé Domhnaigh, agus is gnách go dtuairiscíonn an geata teip fhíordheimhnithe ghinearálta seachas an dáta a ainmniú. Seiceáil na dátaí ó óstach an taisc mar chuid den runbook:

openssl x509 -in client.pem -noout -subject -issuer -dates
ipsec listcerts

Teastaíonn bealach ó chúlghairm a ndéanann an geata é a sheiceáil. OpenVPN léann sé CRL tríd an rogha crl-verify, agus braitheann strongSwan ar CRL nó OCSP de réir mar a thógtar an phróifíl nasctha. Mura bhfuil ceachtar ceangailte, ciallaíonn baint óstaigh fanacht go dtéann an deimhniú in éag.

Trí choinníoll a chinneann eatarthu

Déan an chomparáid i gcoinne an ardáin atá agat, ní i gcoinne dearaidh tagartha.

An chéad choinníoll: an féidir leis an geata aitheantas meaisín a údarú? Mura ndéanann sé ach ainm úsáideora RADIUS a mhapáil chuig úsáideoir eolaire, fíordheimhníonn deimhniú an t-óstach agus stopann sé ansin ag údarú. An dara coinníoll: an dteastaíonn ón tasc rochtain acmhainne nach n-iompraíonn ach cuntas úsáideora, ar nós sciar mapáilte nó ceadúnas in aghaidh an tsuíocháin? Ansin ní féidir le haitheantas meaisín ionadú, agus is é an freagra macánta cuntas úsáideora tiomnaithe le polasaí teoranta. An tríú coinníoll: cé atá in ann an creidiúnaí a rothlú gan duine sa lúb? Déanann clárú uathoibríoch deimhnithe saor le coinneáil; ní dhéanann pasfhocal a bhfuil aithne ag duine amháin air.

Léigh an tábla mar liosta costas, ní mar rangú. Buaann colún an rúin stóráilte ar luas an chúlghairme agus ar chomhoiriúnacht le hacmhainní nach dtuigeann ach cuntais úsáideora; buaann colún an deimhnithe ar rothlú agus ar gan MFA a lagú chun script a chur ag obair.

Cuir an teorainn sa pholasaí, tar éis fíordheimhnithe

Cibé aitheantas a roghnaíonn tú, baineann teorainn na gcead leis an bpolasaí a ritheann tar éis fíordheimhnithe. I NPS déantar polasaithe líonra a mheas in ord agus cuireann an chéad pholasaí a mheaitseálann gach coinníoll a shocruithe i bhfeidhm, mar sin cinneann polasaí leathan a chuirtear os cionn ceann cúng an toradh is cuma cad a chuireann an cliant i láthair. Déanann Microsoft cur síos ar an tsamhail choinníollacha agus socruithe ina forbhreathnú ar pholasaithe NPS.

Tabhair a ghrúpa nó a choinníoll polasaí féin don tasc, bunaithe ar rud éigin a iompraíonn aitheantas an mheaisín: teimpléad deimhnithe, aitheantóir an stáisiúin ghlaoigh, nó seoladh ó pholl tiomnaithe. Ansin teorannaigh an seisiún le tréithe: Filter-Id don ról a bhfuil do gheata ag mapáil chuige, Session-Timeout gearr ionas go ndéanfaidh tasc atá sáinnithe athfhíordheimhniú seachas seisiún a choinneáil ar feadh laethanta, agus Framed-IP-Address ó pholl a ndéanann tú balla dóiteáin air ar an taobh eile. Fanann údarú feidhmchlár ar leithligh: ní cead é tollán chuig freastalaí bunachar sonraí tábla a léamh istigh ann.

Fíoraigh na diúltuithe, ansin pleanáil an bhaint

Ní chruthaíonn rochtain a oibríonn aon rud faoin íosphribhléid. Tástáil na diúltuithe ina ionad sin: nasc le haitheantas an taisc agus déan iarracht ceann scríbe lasmuigh den liosta a bhaint amach, oscail an dara seisiún comhthreomhar más rud é nár cheart don gheata ach ceann amháin a cheadú, agus déan an logáil isteach a athrá tar éis an creidiúnaí a chúlghairm.

Ansin deimhnigh an seisiún céanna in dhá áit. Taispeánann loga an gheata an t-aitheantas a fíordheimhníodh; taispeánann loga an fhreastalaí polasaí cén polasaí a mheaitseáil agus cé na tréithe a d'fhill sé. Ar OpenVPN taifeadann an freastalaí gnáthainm an deimhnithe, agus priontálann ipsec statusall ar strongSwan an tollán bunaithe leis an aitheantas atá in úsáid. Má easaontaíonn an dá loga faoin aitheantas, tá an polasaí ag meaitseáil rud éigin eile seachas an rud a ghlacann tú leis.

Baineann an bhaint leis an dearadh, ní le sprint glantacháin. Scríobh síos gach rud atá le scriosadh (deimhniú nó cuntas, ballraíocht ghrúpa, polasaí líonra, iontráil phoill, riail balla dóiteáin ar an sprioc) agus rith é uair amháin agus an tasc éasca le hatógáil.

Má tá tú ag tosú inniu, oibrigh san ord seo: scríobh an liosta acmhainní, roghnaigh an t-aitheantas leis na trí choinníoll, cuir an teorainn sa pholasaí, agus cleachtadh diúltú amháin sula dtéann an tasc beo.