Samun VPN ta asusun sabis: takardar shaida ko haɗaɗɗiyar shiga

Zane-zane biyu suna rufe kusan duk tsarin VPN ba tare da kulawa ba: haɗaɗɗiyar shigar mutum da aka ajiye a cikin rubutun kwamfuta, ko takardar shaidar na'ura da aka ɗaure ga mai masauki. Suna gazawa a wurare daban-daban, wanda ya fi mahimmancin saurin saitin. Kalmar wucewa da aka adana tana karyewa lokacin da mai ita ya canza ta ko ya tafi; takardar shaida tana karyewa lokacin da ta ƙare ko kuma lokacin da aka sake gina mai masauki ba tare da maɓalli ba. Sharuɗɗa uku ne ke yanke shawarar wane kuɗi za ka iya ɗauka, kuma babu ɗaya daga cikin zanen da ke iyakance wani abu har sai manufar izini ta yi haka.

Fara daga aikin, ba daga asusu ba

Aikin yana bayyana iyaka: wace manufa, wace sabis, wane lokaci, tsawon lokacin da zama zai iya ɗauka. Hanyar tunnel rabin wannan iyaka ne kawai. Ƙofar tana yanke shawarar ko an yarda da zama; albarkatun da ke bayanta suna yanke shawarar abin da zama zai iya yi. Rubuta jerin farko, tare da mai shi mai suna, domin duka zanen shaida biyu dole su cika shi.

Ka raba tabbatarwa da izini yayin rubuta shi. Tabbatarwa tana amsa wanene ke haɗawa; izini yana amsa abin da zama zai iya kaiwa bayan haka. RADIUS yana ɗaukar sashi na biyu a matsayin halaye kamar Filter-Id, Framed-IP-Address, Session-Timeout da Class, kuma ƙofar tana haɗa su da zarar shiga ya yi nasara. Zanen da ya musanya shiga ya bar izini ba tare da taɓawa ba bai iyakance komai ba.

Haɗaɗɗiyar shigar mutum: kalmar wucewa ta zama iyaka

Sake amfani da asusun mutum ita ce hanya mafi sauri kuma ita ce da ta fi tsufa muni. Tabbacin shiga kalmar wucewa ne, don haka yana ƙarewa a cikin rubutun kwamfuta, fayil ɗin muhalli da saitin mai tsara lokaci, kuma kowane kwafi yana buƙatar juyawa. Lokacin da mai shi ya canza ta ranar Juma'a, aikin zai gaza a gaba kuma babu wanda ke kallo.

MFA ita ce wurin da wannan zane yakan rushe. Rubutun kwamfuta ba zai iya amsa buƙatar push ba, don haka ana cire asusun daga manufar, kuma wannan shi ne ainihin asusun da mai hari zai zaɓa. Keɓancewa, kauce wa wuri amintacce da tanadi na kowane asusu suna ƙaruwa, kuma babu ɗayansu da ake gani ga mutum na gaba da ke karanta saitunan mai haya.

Gano wanda ya yi shi ne ɗayan kuɗin. Kowane zama a cikin tarihin ƙofa yana ɗauke da sunan mai amfani ɗaya, don haka ba za a iya bambanta aikin dare da aikin mutumin da ya rubuta shi ba, kuma soke aikin yana nufin soke wannan mutumin.

Takardar shaidar na'ura: shaida da aka ɗaure ga mai masauki

Takardar shaida tana canza tambaya daga abin da asusun ya sani zuwa abin da mai masauki yake. Da EAP-TLS abokin ciniki yana gabatar da takardar shaida kuma yana tabbatar da mallakar maɓallin sirri da ya dace; uwar garken manufa tana haɗa batun ko asusun kwamfuta zuwa ƙungiya kuma tana amfani da manufar wannan ƙungiyar. Babu buƙata, babu wani sirri na haɗin gwiwa da ke zaune a cikin fayil ɗin rubutu.

Iyakar da take ƙirƙira ta fi ƙunci fiye da yadda mutane suke tsammani. Takardar shaida tana tabbatar da mai masauki, ba aikin ba, kuma duk wanda ke da haƙƙin root ko admin na gida zai iya amfani da wannan maɓallin a wannan mai masaukin. Ajiye maɓallin a inda dandali ke kare shi: wanda ba a fitar da shi a cikin ajiyar takardun shaida na Windows, mai goyon bayan TPM a inda bayanan ke yarda, ko fayil 0600 mallakar root a Linux. Lalacewar mai masauki lalacewar tabbacin shiga ce.

Ƙarewar lokaci ita ce gazawar da ke maimaitawa. Takardar shaidar da ta ƙare ranar Lahadi tana tsayar da aikin ranar Lahadi, kuma ƙofar tana ba da rahoton gazawar tabbatarwa ta gama gari maimakon ambaton ranar. Duba kwanakin daga mai masaukin aikin a matsayin ɓangaren runbook:

openssl x509 -in client.pem -noout -subject -issuer -dates
ipsec listcerts

Sokewa tana buƙatar hanyar da ƙofar ke dubawa. OpenVPN yana karanta CRL ta zaɓin crl-verify, kuma strongSwan ya dogara da CRL ko OCSP bisa yadda aka gina bayanan haɗin. Idan babu ɗayan da aka haɗa, cire mai masauki yana nufin jira takardar shaida ta ƙare.

Sharuɗɗa uku da ke yanke shawara a tsakaninsu

Yi kwatancen da dandalin da kake da shi, ba da zanen misali ba.

Sharadi na farko: shin ƙofar za ta iya ba da izinin shaidar na'ura? Idan tana haɗa sunan mai amfani na RADIUS zuwa mai amfani na jagora kawai, takardar shaida tana tabbatar da mai masauki sannan ta tsaya a izini. Sharadi na biyu: shin aikin yana buƙatar samun albarkatun da asusun mai amfani kaɗai ke ɗauka, kamar rabon da aka haɗa ko lasisi na kowane wuri? To shaidar na'ura ba za ta iya maye gurbinsa ba, kuma amsar gaskiya ita ce asusun mai amfani na musamman da manufar da aka iyakance. Sharadi na uku: wa zai iya juya tabbacin shiga ba tare da mutum a cikin zagaye ba? Rijista ta atomatik tana sa takardun shaida masu arha a adana; kalmar wucewa da mutum ɗaya ya sani ba haka ba.

Karanta tebur a matsayin jerin kuɗi, ba a matsayin matsayi ba. Rukunin sirrin da aka adana yana cin nasara akan saurin sokewa da jituwa da albarkatun da suka fahimci asusun mai amfani kawai; rukunin takardar shaida yana cin nasara akan juyawa da rashin raunana MFA don rubutun kwamfuta ya yi aiki.

Sanya iyakar a cikin manufar, bayan tabbatarwa

Duk shaidar da ka zaɓa, iyakar izini tana cikin manufar da ke aiki bayan tabbatarwa. A NPS ana auna manufofin cibiyar sadarwa bisa tsari kuma manufar farko da ta dace da kowane sharadi tana amfani da saitunanta, don haka faffadan manufar da aka sanya sama da ƙunƙuntar ita ce ke yanke sakamakon ko da menene abokin ciniki ya gabatar. Microsoft yana rubuta tsarin sharadi da saiti a cikin taƙaitaccen manufofin NPS.

Ba aikin ƙungiyarsa ko sharadin manufarsa, bisa wani abu da shaidar na'ura ke ɗauka: samfurin takardar shaida, mai gano tashar kira, ko adireshi daga tafkin da aka keɓe. Sannan iyakance zama da halaye: Filter-Id don rawar da ƙofarka ke haɗawa da ita, gajeren Session-Timeout domin aikin da ya tsaya ya sake tabbatarwa maimakon riƙe zama na kwanaki, da Framed-IP-Address daga tafkin da kake yi wa wuta a gefe. Izinin aikace-aikace ya kasance daban: tunnel zuwa uwar garken bayanai ba izinin karanta tebur a cikinta ba ne.

Tabbatar da ƙin yarda, sannan tsara cirewa

Samun da ke aiki ba ya tabbatar da komai game da mafi ƙarancin izini. Gwada ƙin yarda maimakon haka: haɗa da shaidar aikin kuma ka yi ƙoƙarin isa wata manufa da ba ta cikin jerin, buɗe zama na biyu na lokaci ɗaya idan ƙofar za ta yarda da ɗaya kawai, kuma sake shiga bayan an soke tabbacin shiga.

Sannan tabbatar da wannan zama a wurare biyu. Tarihin ƙofa yana nuna shaidar da aka tabbatar; tarihin uwar garken manufa yana nuna wace manufa ta dace da wane halaye ta mayar. A OpenVPN uwar garken tana rubuta sunan gama gari na takardar shaida, kuma ipsec statusall a strongSwan yana buga tunnel ɗin da aka kafa tare da shaidar da ake amfani da ita. Idan tarihin biyu ba su yarda da shaidar ba, manufar tana dacewa da wani abu dabam da abin da kake zato.

Cirewa tana cikin zane, ba a cikin gudun tsaftacewa ba. Rubuta duk abin da za a goge (takardar shaida ko asusu, kasancewar ƙungiya, manufar cibiyar sadarwa, shigarwar tafki, ka'idar wuta a kan manufa) kuma gudanar da shi sau ɗaya yayin da aikin ke da sauƙin sake ginawa.

Idan kana farawa yau, yi aiki a wannan tsari: rubuta jerin albarkatu, zaɓi shaidar da sharuɗɗa uku, sanya iyaka a cikin manufar, kuma gwada ƙin yarda ɗaya kafin aikin ya fara aiki.