Dar de alta un usuario de VPN: primeiro atope o dono da identidade

Alguén pide acceso á VPN, e o primeiro instinto é executar adduser no servidor. Ese instinto só é correcto nun conxunto estreito de despregamentos. Antes de crear nada, abra a configuración do servidor e averigüe que produto se executa alí e onde valida as credenciais, porque a conta pode vivir nunha base de datos do produto, nun provedor de identidade ou na pila de autenticación propia do host. Crear o tipo de conta equivocado deixa a persoa cun inicio de sesión que funciona e sen túnel.

Un perfil de cliente que di OpenVPN describe o protocolo, non o sistema de identidade que hai detrás.

Comece polo servidor, non por adduser

Identifique primeiro o produto. Community OpenVPN é o daemon máis calquera autenticación que lle conectase, mentres que Access Server é un produto coa súa propia capa de usuarios. Pida a configuración, o nome da unidade e a lista de paquetes, e comprobe se existe unha interface web para xestionar usuarios. Despois mire como o perfil despregado espera que os clientes demostren quen son: un certificado, un nome de usuario e un contrasinal, ou ambos. Esa resposta nomea o sistema que posúe a conta.

Só despois diso a frase crear o usuario significa algo. Nun despregamento só con certificados significa emitir unha identidade de dispositivo mediante o proceso aprobado, e un inicio de sesión de Unix non cambia nada. Nun despregamento con contrasinal significa o backend que valida realmente o contrasinal.

Catro backends, catro lugares onde crear a conta

A autenticación local de Access Server garda as contas na súa propia base de datos, así que a interface para crealas pertence ao produto e non ao host. PAM delega a validación na pila do sistema operativo, e por iso unha conta Unix local pode formar parte da alta cando esa pila é a que o servizo escolleu. LDAP, RADIUS e SAML trasladan a validación a un servizo externo, onde viven o aprovisionamento, a política de contrasinais e o MFA. Access Server aínda pode manter certificados e permisos por usuario nos catro casos, e iso é o que fai confusa a separación.

Comprobe o método efectivo para este usuario concreto en lugar do valor predeterminado global. Access Server 2.10 e posteriores poden aplicar métodos de autenticación distintos por grupo ou por usuario, así que un valor predeterminado local non demostra que a conta que ten diante se valide localmente.

O dereito é unha decisión aparte

A autenticación responde quen é a persoa; o dereito responde a que pode chegar. Manteña ambos como dous pasos, porque un inicio de sesión correcto non é unha concesión. Asigne deliberadamente as rutas previstas, os permisos de recursos e os dereitos administrativos, e confirme que o acceso non relacionado segue denegado. Onde o despregamento admite identidades individuais, emita unha por persoa en lugar de reenviar o perfil doutra, porque un perfil compartido non se pode retirar para unha soa persoa.

O material do cliente tamén importa. Un perfil de inicio automático e un inicio de sesión interactivo de usuario representan relacións de autenticación distintas, e intercambiar un polo outro cambia que verifica realmente o servidor.

Retirar o acceso forma parte da alta

Anote tres propietarios mentres se crea o usuario: quen valida a conta, quen autoriza o acceso á VPN e que dispositivo ou perfil representa a conexión. Poden ser tres sistemas distintos, e un plan de revogación que só nomee un deles deixa un camiño aberto. Cando a persoa marcha, quite o dereito do seu propietario e retire cada credencial emitida baixo o seu propietario. Borrar un ficheiro descargado non é revogar, e tampouco o é borrar unha entrada local se unha identidade externa aínda se autentica.

Despois probe a alta como o faría un atacante: conecte unha vez coa identidade nova, confirme o acceso ao recurso previsto e confirme que un recurso non relacionado aínda rexeita. Unha primeira conexión que funciona máis unha proba negativa é unha alta completada.

Garde o rexistro co perfil ao que pertence. O seguinte auditor preguntará quen podía conectarse durante un mes determinado, e a resposta vive neses tres propietarios.