Takardar shaidar VPN ba ta kare sashin LDAP

Shiga VPN da ke duba bayanan shiga a kan jagora ya ƙunshi haɗin cibiyar sadarwa biyu daban. Haɗin mai amfani da ƙofar ana kare shi da takardar shaidar VPN kanta da tsarin ka’idar sadarwa. Haɗin ƙofar da jagorar wani zama ne daban mai nasa saitunan TLS, nasa ajiyar amincewa da nasa hanyoyin gazawa. Babu wani abu a na farko da ke tabbatar da wani abu a na biyu.

Wannan rashin daidaito shi ne hanyar da ke bayan shiga da ke kama da an rufa da asiri amma har yanzu tana aika kalmar sirri ta bind a fili.

Haɗi biyu, shawarwari biyu na amincewa

Zaman waje shi ne abin da mai amfani yake gani: takardar shaida da aka ɗaure da sunan masaukin VPN, wadda abokin ciniki ya tabbatar, wadda ke ɗauke da musayar tabbatarwa. Zaman ciki na abokin cinikin jagora ne a cikin ƙofar, wanda ke buɗe nasa haɗin kuma ko dai ya tattauna TLS ko a’a. Kowace gefe tana tabbatar da wanda take magana da shi, tana amfani da kayan daga wani fayil ɗin tsari na daban. Ƙafar ciki da ba a daidaita ba ta kasance ba a gani daga gefen mai amfani, domin ƙafar waje tana aiki daidai yadda aka nufa.

Shi ya sa gazawar ke shiru ba da ƙarfi ba. Ƙofar da ba ta taɓa duba takardar shaidar jagora ba tana tabbatar da masu amfani daidai; kawai tana tabbatar da su ta hanyar da ba ta tabbatar da ita ba.

StartTLS da LDAPS, zaɓi da gangan

StartTLS yana buɗewa a matsayin LDAP bayyananne kuma ana haɓaka shi a wurin, yawanci a tashar 389. LDAPS yana fara TLS tare da haɗin, yawanci a 636. Dukansu halal ne kuma adaftar dole ta dace da abin da jagorar ke bayarwa. Neman StartTLS ya bambanta da gwada shi da ci gaba idan haɓakawa ta kasa, kuma a wannan bambancin ne kalmar sirri ta bind za ta iya tserewa. Saita yanayin tsauri, kuma kada ka yarda da hanyar ajiya marar kariya don bind da kalmar sirri.

ldapsearch -H ldap://dc1.corp.example -ZZ -x -D "CN=VPN Bind,OU=Service Accounts,DC=corp,DC=example" -W -b "DC=corp,DC=example" "(sAMAccountName=example-user)" dn

Zaɓin -ZZ shi ne dukan maganar: tambayar ta kasa maimakon ci gaba a shiru ba tare da haɓakawa ba. Sunaye da asusu a wannan layin misalai ne. Takardun TLS na OpenLDAP sun yi bayani kan saitunan amincewa da ke bayansa.

Wace ajiyar amincewa ce abokin cinikin LDAP ke karantawa?

Ɗakin karatu na abokin ciniki na OpenLDAP yana karanta nasa tsarin amincewa, ko daga fayil ɗin tsarin ko daga saitin da ya shafi wani ƙari. Umarnin CA na VPN ya shafi abokan VPN ne kuma ba hujja ba ce cewa ɗakin karatun LDAP yana karanta wannan fayil ɗin. Yi amfani da sunan masaukin jagorar da takardar shaidar ke rufewa da gaske, tare da sarkar fitarwa da ɗakin karatun ya amince da ita. A cikin Active Directory, girka takardar shaidar sabis na jagora tare da amfani daidai na tabbatar da uwar garke maimakon yin tunani daga sunan nuni.

Kowane wuri na canji a lokacin gazawa dole ya cika manufar shaida ɗaya. Wurin da ake tabbatar da na farko amma ba a tabbatar da na biyu ba ya fi wanda ba shi da canji, domin ana gano hanya mafi rauni ne kawai a lokacin katsewa.

Asusun bind ya kasance wata matsala ta daban

Kare hanyar wucewa ba ya rage abin da asusun bind zai iya yi. Iyakar bincike a jagora, izinin rukuni da haƙƙin asusun sabis shawarwari ne daban, kuma faffadan asusun bind ya kasance faffadi bayan an kunna TLS. Yi amfani da mafi ƙarancin asusun sabis da tushen bincike da haɗin ke buƙata, kuma rubuta ƙarshen wuri, yanayin TLS, mai ajiyar amincewa da tsarin sabuntawa tare da tsarin VPN.

Idan rashin daidaituwar takardar shaida ya bayyana, girka takardar shaidar ko sarkar daidai. Kashe tabbatarwa yana mai da rashin daidaituwar da ake gani zuwa wadda ba a gani kuma ya bar dangantakar amincewa ta biyu ba a gwada ba.

Haɗi biyu, masu biyu, kwanakin sabuntawa biyu. Raba su a cikin takardun shi ne ke riƙe shiga da gaskiya.