Ní chosnaíonn teastas VPN an chos LDAP

Baineann logáil isteach VPN a sheiceálann dintiúir i gcoinne eolaire le dhá nasc líonra ar leith. Cosnaítear nasc an úsáideora leis an ngeata le teastas agus le cumraíocht prótacail an VPN féin. Is seisiún eile é nasc an gheata leis an eolaire, seisiún a bhfuil a shocruithe TLS féin, a stór iontaobhais féin agus a mhóid teipe féin aige. Ní ráthaíonn aon rud faoin gcéad cheann aon rud faoin dara ceann.

Is é an neamhshiméadracht sin an mheicníocht atá taobh thiar de logáil isteach a bhféachann sé criptithe uirthi agus a sheolann focal faire bind go follasach mar sin féin.

Dhá nasc, dhá chinneadh iontaobhais

Is é an seisiún seachtrach an rud a fheiceann an t-úsáideoir: teastas atá ceangailte le hainm óstach an VPN, bailíochtaithe ag an gcliaint, a iompraíonn an malartú fíordheimhnithe. Baineann an seisiún inmheánach le cliaint an eolaire laistigh den gheata, a osclaíonn a nasc féin agus a dhéanann TLS a idirbheartú nó nach ndéanann. Bailíochtaíonn gach taobh an piara lena labhraíonn sé, ag úsáid ábhair ó chomhad cumraíochta eile. Fanann cos inmheánach mhíchumraithe dofheicthe ó thaobh an úsáideora de, mar go n-oibríonn an chos sheachtrach go beacht mar a bhí beartaithe.

Sin an fáth go bhfuil an teip chiúin seachas callánach. Fíordheimhníonn geata nach ndéanann riamh teastas an eolaire a sheiceáil úsáideoirí i gceart fós; ní dhéanann sé ach iad a fhíordheimhniú thar chainéal nár fhíoraigh sé.

StartTLS agus LDAPS, roghnaithe go stuama

Osclaíonn StartTLS mar LDAP lom agus uasghrádaítear ar an láthair é, de ghnáth ar phort 389. Tosaíonn LDAPS TLS leis an nasc, de ghnáth ar 636. Tá an dá cheann dlisteanach agus caithfidh an t-oiriúnóir teacht leis an méid a thairgeann an t-eolaire. Is rud difriúil é StartTLS a éileamh ná triail a bhaint as agus leanúint ar aghaidh nuair a theipeann an t-uasghrádú, agus is sna difríochtaí sin go beacht a d’fhéadfadh focal faire bind éalú. Cumraigh an mód dian, agus ná ceadaigh cúltaca gan chosaint do bind le focal faire.

ldapsearch -H ldap://dc1.corp.example -ZZ -x -D "CN=VPN Bind,OU=Service Accounts,DC=corp,DC=example" -W -b "DC=corp,DC=example" "(sAMAccountName=example-user)" dn

Is é an rogha -ZZ an pointe ar fad: teipeann an cheist seachas leanúint ar aghaidh go ciúin gan an t-uasghrádú. Is samplaí iad na hainmneacha agus na cuntais sa líne sin. Clúdaíonn doiciméadú TLS OpenLDAP na socruithe iontaobhais atá taobh thiar de.

Cén stór iontaobhais a léann cliaint LDAP?

Léann leabharlann cliaint OpenLDAP a cumraíocht iontaobhais féin, cibé acu ó chomhad an chórais nó ó shocrú a bhaineann go sonrach le breiseán. Baineann treoir CA an VPN le piaraí VPN agus ní fianaise í go léann leabharlann LDAP an comhad céanna. Úsáid hainm óstach an eolaire a chlúdaíonn an teastas i ndáiríre, móide an slabhra eisiúna a bhfuil muinín ag an leabharlann as. In Active Directory, imscaigh teastas seirbhíse eolaire leis an úsáid cheart fíordheimhnithe freastalaí in ionad réasúnaíocht a dhéanamh ó ainm taispeána.

Caithfidh gach ceann scríbe failover an polasaí aitheantais céanna a chomhlíonadh. Tá timpeallacht ina mbailíochtaítear an príomhcheann agus nach mbailíochtaítear an dara ceann níos measa ná ceann gan failover, mar ní fhaightear an cosán is laige ach le linn briseadh.

Fanann an cuntas bind ina fhadhb ar leith

Ní laghdaíonn cosaint an iompair an méid atá ceadaithe don chuntas bind. Is cinntí ar leith iad raon cuardaigh an eolaire, údarú grúpaí agus pribhléidí an chuntais seirbhíse, agus fanann cuntas bind leathan leathan tar éis TLS a chumasú. Úsáid an cuntas seirbhíse agus an bonn cuardaigh is cúinge a theastaíonn ón gcomhtháthú, agus taifead an críochphointe, mód TLS, úinéir an iontaobhais agus an próiseas athnuachana mar aon le cumraíocht an VPN.

Nuair a thagann éagsúlacht teastais chun solais, imscaigh an teastas nó an slabhra ceart. Athraíonn díchumasú fíoraithe éagsúlacht infheicthe go ceann dofheicthe agus fágann sé an dara caidreamh iontaobhais gan tástáil.

Dhá nasc, dhá úinéir, dhá dháta athnuachana. Is é a gcoinneáil ar leith sa doiciméadú a choinníonn an logáil isteach macánta.