સેવા ખાતાની VPN ઍક્સેસ: પ્રમાણપત્ર કે શેર કરેલ લૉગિન
દેખરેખ વગરની VPN ઍક્સેસ માટે મશીન પ્રમાણપત્રની સંગ્રહિત પાસવર્ડ સાથે તુલના કરો, અને લૉગિન પછી ચાલતી નીતિમાં ખરી પરવાનગી મર્યાદા મૂકો.
લગભગ દરેક દેખરેખ વગરની VPN સેટઅપને બે ડિઝાઇન આવરી લે છે: સ્ક્રિપ્ટમાં રાખેલું શેર કરેલ માનવ લૉગિન, અથવા હોસ્ટ સાથે બંધાયેલું મશીન પ્રમાણપત્ર. તેઓ અલગ જગ્યાએ નિષ્ફળ જાય છે, જે સેટઅપની ઝડપ કરતાં વધુ મહત્ત્વનું છે. સંગ્રહિત પાસવર્ડ તૂટે છે જ્યારે તેનો માલિક તેને બદલે અથવા જતો રહે; પ્રમાણપત્ર તૂટે છે જ્યારે તેની મુદત પૂરી થાય અથવા જ્યારે હોસ્ટ કી વગર ફરી બંધાય. તમે કઈ કિંમત ઉપાડી શકો તે ત્રણ શરતો નક્કી કરે છે, અને અધિકૃતતા નીતિ ન કરે ત્યાં સુધી કોઈ પણ ડિઝાઇન કંઈ મર્યાદિત કરતી નથી.
ખાતાથી નહીં, કામથી શરૂ કરો
કામ સીમા નક્કી કરે છે: કયા લક્ષ્યો, કઈ સેવાઓ, કઈ કલાકો, સત્ર કેટલું ચાલી શકે. ટનલ માર્ગ તે સીમાનો અડધો ભાગ જ છે. ગેટવે નક્કી કરે છે કે સત્રને મંજૂરી છે કે નહીં; તેની પાછળનું સંસાધન નક્કી કરે છે કે સત્ર શું કરી શકે. પહેલાં યાદી લખો, નામવાળા માલિક સાથે, કારણ કે બંને ઓળખ ડિઝાઇનને તે પૂરી કરવી પડે.
તે લખતી વખતે પ્રમાણીકરણ અને અધિકૃતતા અલગ રાખો. પ્રમાણીકરણ જવાબ આપે છે કોણ જોડાય છે; અધિકૃતતા જવાબ આપે છે કે સત્ર પછી ક્યાં સુધી પહોંચી શકે. RADIUS બીજો ભાગ Filter-Id, Framed-IP-Address, Session-Timeout અને Class જેવા લક્ષણો તરીકે વહન કરે છે, અને લૉગિન સફળ થતાં જ ગેટવે તેમને જોડે છે. જે ડિઝાઇન લૉગિન બદલે અને અધિકૃતતાને અસ્પૃશ્ય રાખે તેણે કંઈ મર્યાદિત કર્યું નથી.
શેર કરેલ માનવ લૉગિન: પાસવર્ડ સીમા બની જાય છે
માનવ ખાતાનો ફરી ઉપયોગ સૌથી ઝડપી માર્ગ છે અને સૌથી ખરાબ રીતે જૂનો થતો માર્ગ છે. ઓળખપત્ર પાસવર્ડ છે, તેથી તે સ્ક્રિપ્ટ, પર્યાવરણ ફાઇલ અને શેડ્યુલર રૂપરેખામાં પહોંચે છે, અને દરેક નકલને ફેરબદલીની જરૂર પડે છે. માલિક શુક્રવારે તેને બદલે ત્યારે આગલી વારમાં કામ નિષ્ફળ જાય છે અને કોઈ જોતું નથી.
MFA એ જ જગ્યા છે જ્યાં આ ડિઝાઇન સામાન્ય રીતે ધરાશાયી થાય છે. સ્ક્રિપ્ટ પુશ વિનંતીનો જવાબ આપી શકતી નથી, તેથી ખાતાને નીતિમાંથી બહાર રાખવામાં આવે છે, અને તે બરાબર એ જ ખાતું છે જે હુમલાખોર પસંદ કરે. બાકાતો, વિશ્વસનીય સ્થાનના વળતર માર્ગો અને ખાતા પ્રમાણેની મુક્તિઓ વધે છે, અને ભાડૂતની ગોઠવણીઓ વાંચનારી આગલી વ્યક્તિને એક પણ દેખાતી નથી.
આરોપણ એ બીજી કિંમત છે. ગેટવે લોગનું દરેક સત્ર સમાન વપરાશકર્તાનામ ધરાવે છે, તેથી રાત્રિનું સમન્વયન તેને લખનાર વ્યક્તિના કામથી અલગ પડી શકતું નથી, અને કામ પાછું ખેંચવાનો અર્થ તે વ્યક્તિને પાછી ખેંચવી.
મશીન પ્રમાણપત્ર: હોસ્ટ સાથે બંધાયેલી ઓળખ
પ્રમાણપત્ર પ્રશ્નને ખાતું શું જાણે છે તેમાંથી હોસ્ટ શું છે તેમાં બદલે છે. EAP-TLS સાથે ક્લાયન્ટ પ્રમાણપત્ર રજૂ કરે છે અને અનુરૂપ ખાનગી કી ધરાવવાનું સાબિત કરે છે; નીતિ સર્વર વિષય અથવા કમ્પ્યુટર ખાતાને જૂથમાં મેપ કરે છે અને તે જૂથ માટેની નીતિ લાગુ કરે છે. કોઈ વિનંતી નહીં, ટેક્સ્ટ ફાઇલમાં બેઠેલું કોઈ શેર કરેલું રહસ્ય નહીં.
તે જે સીમા બનાવે છે તે લોકો ધારે તેના કરતાં સાંકડી છે. પ્રમાણપત્ર હોસ્ટને પ્રમાણિત કરે છે, કામને નહીં, અને root અથવા સ્થાનિક એડમિન અધિકાર ધરાવતી કોઈ પણ વ્યક્તિ તે હોસ્ટ પર તે કી વાપરી શકે છે. કીને ત્યાં રાખો જ્યાં પ્લેટફોર્મ તેનું રક્ષણ કરે: Windows પ્રમાણપત્ર ભંડારમાં નિકાસ ન કરી શકાય તેવી, પ્રોફાઇલ પરવાનગી આપે ત્યાં TPM-આધારિત, અથવા Linux પર root-માલિકીની 0600 ફાઇલ. હોસ્ટનું ભંગ થવું એ ઓળખપત્રનું ભંગ થવું છે.
મુદત પૂરી થવી એ પુનરાવર્તિત નિષ્ફળતા છે. રવિવારે મુદત પૂરી થતું પ્રમાણપત્ર રવિવારે કામ થોભાવે છે, અને ગેટવે સામાન્ય રીતે તારીખનું નામ લેવાને બદલે સામાન્ય પ્રમાણીકરણ નિષ્ફળતા જણાવે છે. કામના હોસ્ટથી તારીખો runbookના ભાગ રૂપે તપાસો:
openssl x509 -in client.pem -noout -subject -issuer -dates
ipsec listcertsપાછું ખેંચવા માટે ગેટવે તપાસે એવો માર્ગ જરૂરી છે. OpenVPN crl-verify વિકલ્પ દ્વારા CRL વાંચે છે, અને strongSwan કનેક્શન પ્રોફાઇલ કેવી રીતે બંધાયેલી છે તેના આધારે CRL કે OCSP પર આધાર રાખે છે. બંનેમાંથી એક પણ જોડાયેલું ન હોય તો હોસ્ટ દૂર કરવાનો અર્થ પ્રમાણપત્રની મુદત પૂરી થવાની રાહ જોવી.
તેમની વચ્ચે નિર્ણય લેતી ત્રણ શરતો
તુલના તમારી પાસેની પ્લેટફોર્મ સાથે કરો, સંદર્ભ ડિઝાઇન સાથે નહીં.
પ્રથમ શરત: શું ગેટવે મશીન ઓળખને અધિકૃત કરી શકે? જો તે ફક્ત RADIUS વપરાશકર્તાનામને ડિરેક્ટરી વપરાશકર્તામાં મેપ કરે, તો પ્રમાણપત્ર હોસ્ટને પ્રમાણિત કરે છે અને પછી અધિકૃતતામાં અટકે છે. બીજી શરત: શું કામને એવા સંસાધનની ઍક્સેસ જોઈએ જે ફક્ત વપરાશકર્તા ખાતું ધરાવે, જેમ કે મેપ કરેલ શેર અથવા સીટ દીઠ લાઇસન્સ? તો મશીન ઓળખ તેની જગ્યા લઈ શકતી નથી, અને પ્રામાણિક જવાબ મર્યાદિત નીતિવાળું સમર્પિત વપરાશકર્તા ખાતું છે. ત્રીજી શરત: કોઈ વ્યક્તિ વગર ઓળખપત્રને કોણ ફેરવી શકે? સ્વયં નોંધણી પ્રમાણપત્રોને સસ્તા રાખે છે; એક વ્યક્તિ જાણતો પાસવર્ડ નહીં.
| Constraint | Machine certificate | Dedicated user account with stored secret |
|---|---|---|
| Unattended login | Private key proof, no prompt | Only if the account is exempted from MFA |
| Resource expects a user identity | Works only when the resource accepts computer accounts | Matches the access a person would have |
| Rotation | Re-enrollment, often automated | Secret change plus redeploy of every copy |
| Revocation speed | Tied to CRL or OCSP refresh | Disable the account, immediate |
કોષ્ટકને ક્રમાંકન તરીકે નહીં, ખર્ચની યાદી તરીકે વાંચો. સંગ્રહિત-રહસ્ય કૉલમ પાછું ખેંચવાની ઝડપમાં અને ફક્ત વપરાશકર્તા ખાતાં સમજતા સંસાધનો સાથેની સુસંગતતામાં જીતે છે; પ્રમાણપત્ર કૉલમ ફેરબદલીમાં અને સ્ક્રિપ્ટ ચલાવવા માટે MFA નબળું ન કરવામાં જીતે છે.
મર્યાદા નીતિમાં મૂકો, પ્રમાણીકરણ પછી
તમે કોઈ પણ ઓળખ પસંદ કરો, પરવાનગીની મર્યાદા પ્રમાણીકરણ પછી ચાલતી નીતિની છે. NPSમાં નેટવર્ક નીતિઓ ક્રમમાં મૂલ્યાંકન પામે છે અને દરેક શરત સાથે મેળ ખાતી પહેલી નીતિ તેની ગોઠવણીઓ લાગુ કરે છે, તેથી સાંકડી નીતિ ઉપર મૂકેલી પહોળી નીતિ ક્લાયન્ટ શું રજૂ કરે તે ધ્યાનમાં ન લીધે પરિણામ નક્કી કરે છે. Microsoft શરત અને ગોઠવણીનું નમૂનું તેના દસ્તાવેજમાં સમજાવે છે: NPS નીતિ ઝલક.
કામને તેનું પોતાનું જૂથ કે નીતિ શરત આપો, જે મશીન ઓળખ ધરાવે છે તેવી કોઈ વસ્તુ પર આધારિત: પ્રમાણપત્ર નમૂનો, કૉલિંગ સ્ટેશન ઓળખકર્તા, અથવા સમર્પિત પૂલમાંથી સરનામું. પછી લક્ષણોથી સત્રને મર્યાદિત કરો: તમારો ગેટવે જે ભૂમિકામાં તેને મેપ કરે તેના માટે Filter-Id, ટૂંકું Session-Timeout જેથી અટકેલું કામ દિવસો સુધી સત્ર રાખવાને બદલે ફરી પ્રમાણીકરણ કરે, અને એવા પૂલમાંથી Framed-IP-Address જેના પર તમે બીજી બાજુ ફાયરવૉલ લગાવો. ઍપ્લિકેશન અધિકૃતતા અલગ રહે છે: ડેટાબેઝ સર્વર સુધીની ટનલ તેની અંદરનું કોષ્ટક વાંચવાની પરવાનગી નથી.
ઇનકાર ચકાસો, પછી દૂર કરવાની યોજના કરો
જે ઍક્સેસ કામ કરે છે તે લઘુત્તમ વિશેષાધિકાર વિશે કંઈ સાબિત કરતું નથી. તેના બદલે ઇનકારની કસોટી કરો: કામની ઓળખ સાથે જોડાઓ અને યાદીની બહારના લક્ષ્ય સુધી પહોંચવાનો પ્રયાસ કરો, ગેટવે ફક્ત એકને મંજૂરી આપવાનું હોય તો બીજું સમાંતર સત્ર ખોલો, અને ઓળખપત્ર પાછું ખેંચ્યા પછી લૉગિન પુનરાવર્તિત કરો.
પછી તે જ સત્રને બે જગ્યાએ ખાતરી કરો. ગેટવે લોગ એ ઓળખ દર્શાવે છે જે પ્રમાણિત થઈ; નીતિ સર્વરનો લોગ દર્શાવે છે કે કઈ નીતિ મળી અને કયા લક્ષણો પરત આપ્યા. OpenVPNમાં સર્વર પ્રમાણપત્રનું સામાન્ય નામ નોંધે છે, અને strongSwanમાં ipsec statusall વપરાતી ઓળખ સાથે સ્થાપિત ટનલ છાપે છે. જો બે લોગ ઓળખ વિશે અસહમત હોય, તો નીતિ તમે ધારો છો તેના કરતાં બીજા કંઈક સાથે મેળ ખાય છે.
દૂર કરવું ડિઝાઇનનો ભાગ છે, સફાઈ સ્પ્રિન્ટનો નહીં. જે પણ ડિલીટ કરવાનું છે તે બધું લખો (પ્રમાણપત્ર કે ખાતું, જૂથ સભ્યપદ, નેટવર્ક નીતિ, પૂલ નોંધ, લક્ષ્ય પરનો ફાયરવૉલ નિયમ) અને કામ ફરી બાંધવું સરળ હોય ત્યારે એક વાર ચલાવો.
જો આજે શરૂ કરો છો, તો આ ક્રમમાં કામ કરો: સંસાધન યાદી લખો, ત્રણ શરતોથી ઓળખ પસંદ કરો, નીતિમાં મર્યાદા મૂકો, અને કામ શરૂ થાય તે પહેલાં એક ઇનકારનો અભ્યાસ કરો.