VPN նույնականացման backend-ի միգրացիա՝ առանց հին հեշերի կրկնակի օգտագործման
VPN ինքնությունների տեղափոխումը անցում է, ոչ պատճենում. քարտեզագրիր նույնականացման շղթան, տեղափոխիր փորձնական խումբ, փորձարկիր հավատարմագրերի փոփոխությունները և պլանավորիր վերականգնում, որը վերակայումը չի չեղարկում։
Օգտանունները հայտնվում են նոր գրացուցակում, միգրացիան հայտարարվում է ավարտված, և մուտքերը դեռ ձախողվում են։ Դարպասին դեռ անհրաժեշտ է աջակցվող նույնականացման ուղի և ճիշտ լիազորման արդյունք, և ոչ մեկը չի բխում գրացուցակից, որն այժմ պարունակում է հաշիվները։ Backend-ի տեղափոխումը կենսացիկլով անցում է, ոչ պատճենման աշխատանք։ Ստորև նշված ախտանիշն է, որը սովորաբար բացահայտում է տարբերությունը։
Ախտանիշը՝ հաշիվները կան, սեսիաները՝ ոչ
Նոր գրացուցակը պարունակում է բոլոր օգտանունները, փորձնական կապը հաջողվում է, և VPN հաճախորդը դեռ վերադարձնում է նույնականացման սխալ։ Այդ համակցությունը նշանակում է, որ ինքնությունը գոյություն ունի, բայց դարպասի օգտագործած ստուգման ուղին չի հասնում դրան, կամ հասնում է մեթոդով, որը չի կարող բավարարել։ Երկուսն էլ կազմաձևում են, և դրանք տարբեր խնդիրներ են։
Առաջինը լարերի հարցն է, քանի որ դարպասը ցույց է տալիս backend-ի, որը չի պատասխանում, օգտագործում է ընդհանուր գաղտնիք, որը մյուս կողմը չի սպասում, կամ պահանջում է ատրիբուտ, որը նոր ծառայությունը չի վերադարձնում։ Երկրորդը գաղտնագրային է, քանի որ մեթոդը պահանջում է սկզբնական գաղտնիքը, իսկ նոր պահոցը պարունակում է միայն դրա հեշը։ Սխալի տեքստը երկու դեպքում էլ նման է, դրա համար երկուսը դիտարկվում են որպես մեկ խնդիր։
Այդ երկուսը բաժանելը մինչև հաշիվներին դիպչելը խնայում է մեկ շաբաթ։ Մեկը երթուղային և վստահության հարց է, մյուսը՝ հավատարմագրերի վերակայման որոշում, և դրանք խառնելը ստեղծում է փոփոխություններ, որոնք ոչ ոք չի կարող վերագրել։
Քարտեզագրիր շղթան, նախքան որևէ մեկին տեղափոխելը
Յուրաքանչյուր հաճախորդի պրոֆիլի համար գրիր վեց բան՝ արտաքին նույնականացման մեթոդը, հնարավոր ներքին մեթոդը, սերվերի ինքնությունը, որը սպասում է հաճախորդը, դարպասի և backend-ի միջև ինտերֆեյսը, այն ատրիբուտը, որը դարպասը քարտեզագրում է խմբի անդամակցությանը, և դրանից բխող ռեսուրսային քաղաքականությունը։ Դրանք հերթականությամբ կարդալը ցույց է տալիս, թե որ օղակն ոչ ոք չի տիրապետում։ Յուրաքանչյուր տարր ունի պատասխանատու, և անցումը ձախողվում է այնտեղ, որը ոչ ոք չի ստուգել։
| Link | Question it answers |
|---|---|
| Client profile | Which method and server name does the client use? |
| Inner method | Is there a second authentication step? |
| Server identity | Which certificate or name must the client accept? |
| Gateway to backend | Which protocol, port and shared secret? |
| Attribute mapping | Which returned value becomes group membership? |
| Resource policy | What the resulting session may reach |
Սովորական գրացուցակային մուտքը համարյա ոչինչ չի անցնում այդ շղթայից։ Այն ապացուցում է, որ հաշիվը գոյություն ունի և գաղտնաբառը աշխատում է, այսինքն՝ հենց այն մասը, որը երբեք կասկածի տակ չի եղել։
Հեշերը չեն ճամփորդում մեթոդների միջև
Հավատարմագրերի համատեղելիությունը պետք է ստուգվի մեկ անգամ, նախքան որևէ խումբ կտեղափոխվի։ FreeRADIUS-ը հստակ նկարագրում է բաժանումը, քանի որ CHAP-ստուգումը, որը կատարում է ինքը սերվերը, պահանջում է իրական գաղտնաբառը, իսկ MS-CHAP-ը ընդունում է այդ գաղտնաբառը կամ համապատասխան NT նյութ։ Այլ նպատակով ստեղծված հեշը չի համապատասխանում ոչ մի դեպքի, որքան էլ ուժեղ լինի։
Տարբերությունը նրանում է, թե ով է հաշվում ապացույցը։ Մեթոդը, որը ստուգում է գրացուցակին կապվելով, թույլ է տալիս գրացուցակին ստուգել այն, ինչ կարող է։ Մեթոդը, որը ստուգում է մարտահրավերի պատասխանը վերահաշվարկելով, պահանջում է հենց գաղտնիքը, որովհետև սերվերը պետք է կատարի նույն հաշվարկը։
Այնտեղ, որտեղ նյութը բացակայում է, ազնիվ տարբերակներն են աջակցվող վերակայումը, վերագրանցումը, արտաքին ստուգման ծառայությունը կամ մեթոդի փոփոխությունը։ Վերականգնվող գաղտնաբառերի ժամանակավոր արտահանումն այդ ցանկում չէ։ Այն ստեղծում է բաց տեքստով հավատարմագրերի պահոց նախագծի ամենաքաոսային շաբաթում և սովորաբար վերապրում է միգրացիան։
Փորձնական խումբ, ապա կենսացիկլի փոփոխություններ
Տեղափոխիր հաստատված ինքնությունների փոքր խումբը իրական հաճախորդով և փորձարկիր չորս բան՝ նոր մուտք, դիտավորյալ սխալ հավատարմագիր, ռեսուրսները, որոնց սեսիան կարող է հասնել, և ռեսուրսները, որոնց չպետք է հասնի։ Ստուգիր նաև սերվերի ինքնությունը, որը հաճախորդն ընդունել է, որովհետև վկայագրի անվան անհամապատասխանությունը անտեսանելի է, մինչև ինչ-որ մեկը կարդա հաճախորդի մատյանը։
Ապա փորձարկիր այն փոփոխությունները, որոնցից իրոք կախված է տեղադրումը։ Փոխիր գաղտնաբառ, թարմացրու կամ վերագրանցիր վկայագիր և հանիր մուտքը մեկ փորձնական հաշվից։ Յուրաքանչյուրից հետո հաստատիր, թե որ ստուգիչն է մշակել փորձը, որովհետև անցումից առաջ ստեղծված սեսիան կարող է շարունակել աշխատել և ոչինչ չի ապացուցում հաջորդ մուտքի մասին։
Առանձնացրու պրոֆիլի մատակարարումը ինքնության փոխարկումից։ Յուրաքանչյուր խմբի պետք է իր նախատեսված պրոֆիլը, հավատարմագրի կամ գրանցման վիճակը, նույնականացման ծառայությունը, որը պետք է օգտագործի, և աջակցության կոնտակտ, և այդ գրառումներից ոչ մեկը չպետք է պարունակի գաղտնիք։
Եթե հին և նոր ուղիները գոյակցում են, սահմանափակիր դրանք ավարտի ամսաթվով։ Ավտոմատ հետադարձը կարող է հաշիվ ներս թողնել հին հավատարմագրով այն բանից հետո, երբ նոր սեփականատերը հանել է մուտքը, և դա անվտանգության ռեգրեսիա է՝ քողարկված որպես հասանելիություն։
Հետադարձը չի կարող վերականգնել հավատարմագիր
Անցումը շրջելը գրացուցակը թողնում է ճիշտ այնպիսին, ինչպիսին այն հիմա է։ Վերակայված գաղտնաբառը մնում է վերակայված, չեղարկված վկայագիրը մնում է չեղարկված, իսկ փոփոխված հավատարմագրի ձևաչափը մնում է փոփոխված։ Դրանք իրադարձություններ են գրացուցակում, և դարպասը երբեք դրանց աղբյուրը չի եղել։ Վերականգնումը պետք է սահմանվի յուրաքանչյուր իրադարձության համար, և դրա ոչ մի մասը չի կարող կախված լինել անհամատեղելի հեշից գաղտնիքի վերակառուցումից։
Պահիր վարչական ուղի, որը չի օգտագործում միգրացվող կապը։ Երբ նոր նույնականացումը ձախողվում է, կանգնեցրու խումբը և օգտագործիր դրա փաստաթղթավորված վերականգնման ուղին՝ ժամկետը պահելու համար բոլորի նույնականացումը թուլացնելու փոխարեն։
Երբ խմբերը ծածկված են, դուրս բեր հին backend-ի հավատարմագրերը, պրոֆիլները և վստահության հարաբերությունները դրանց սեփականատերերի միջոցով։ Հաստատիր, որ հին ուղին այլևս չի թողնում օգտատերերին, և պահիր գաղտնիքից զուրկ ինքնություն-քաղաքականություն քարտեզագրումը, որն աջակցությունը դեռ պետք է։ Միգրացիան ավարտված է, երբ նոր կենսացիկլն աշխատում է և ոչ ոք այլևս չի մտնում հին ուղիով, ոչ այն ժամանակ, երբ հաշիվների ցանկը լրիվ է թվում։