VPN օգտատիրոջ գրանցում. նախ գտեք ինքնության սեփականատիրոջը

Ինչ-որ մեկը VPN-ի հասանելիություն է խնդրում, և առաջին բնազդը սերվերի վրա adduser գործարկելն է։ Այդ բնազդը ճիշտ է միայն տեղակայումների նեղ հավաքածուում։ Նախքան ինչ-որ բան ստեղծելը, բացեք սերվերի կոնֆիգուրացիան և պարզեք, թե որ ապրանքն է այնտեղ աշխատում և որտեղ է վավերացնում հավատարմագրերը, որովհետև հաշիվը կարող է լինել ապրանքի տվյալների բազայում, ինքնության մատակարարի մոտ կամ հենց հոսթի նույնականացման ստեկում։ Սխալ տեսակի հաշիվ ստեղծելը մարդուն թողնում է աշխատող մուտքով և թունել չունեցող։

Կլիենտի պրոֆիլը, որը նշում է OpenVPN, նկարագրում է արձանագրությունը, ոչ թե դրա հետևում գտնվող ինքնության համակարգը։

Սկսեք սերվերից, ոչ թե adduser-ից

Նախ նույնականացրեք ապրանքը։ Community OpenVPN-ը դեմոնն է գումարած ցանկացած նույնականացում, որը դուք կցել եք դրան, մինչդեռ Access Server-ը ապրանք է իր սեփական օգտատերերի շերտով։ Խնդրեք կոնֆիգուրացիան, միավորի անունը և փաթեթների ցանկը, և ստուգեք՝ կա արդյոք վեբ ինտերֆեյս օգտատերերի կառավարման համար։ Այնուհետև տեսեք, թե ինչպես է տեղակայված պրոֆիլը սպասում, որ կլիենտները ապացուցեն, թե ովքեր են՝ վկայականով, օգտանունով և գաղտնաբառով, կամ երկուսով։ Այդ պատասխանը անվանում է համակարգը, որը տիրապետում է հաշվին։

Միայն դրանից հետո է օգտատեր ստեղծելու արտահայտությունը իմաստ ստանում։ Միայն վկայականներով տեղակայման դեպքում դա նշանակում է սարքի ինքնության տրամադրում հաստատված գործընթացով, և Unix մուտքը ոչինչ չի փոխում։ Գաղտնաբառով տեղակայման դեպքում դա նշանակում է այն backend-ը, որը իրականում վավերացնում է գաղտնաբառը։

Չորս backend, հաշիվ ստեղծելու չորս տեղ

Access Server-ի տեղական նույնականացումը հաշիվները պահում է իր սեփական տվյալների բազայում, ուստի դրանք ստեղծելու ինտերֆեյսը պատկանում է ապրանքին, ոչ թե հոսթին։ PAM-ը վավերացումը պատվիրակում է օպերացիոն համակարգի ստեկին, և դրա պատճառով տեղական Unix հաշիվը կարող է լինել գրանցման մաս, երբ ծառայությունը ընտրել է հենց այդ ստեկը։ LDAP-ն, RADIUS-ը և SAML-ը վավերացումը տեղափոխում են արտաքին ծառայություն, որտեղ ապրում են տրամադրումը, գաղտնաբառի քաղաքականությունը և MFA-ն։ Access Server-ը բոլոր չորս դեպքերում էլ կարող է պահել օգտատիրոջը պատկանող վկայականներ և թույլտվություններ, և հենց դա է բաժանումը շփոթեցնող դարձնում։

Ստուգեք այս կոնկրետ օգտատիրոջ համար գործող մեթոդը, ոչ թե գլոբալ լռելյայնը։ Access Server 2.10-ը և ավելի նորերը կարող են կիրառել տարբեր նույնականացման մեթոդներ խմբի կամ օգտատիրոջ համար, ուստի տեղական լռելյայնությունը չի ապացուցում, որ ձեր առջևի հաշիվը տեղում է վավերացվում։

Իրավասությունը առանձին որոշում է

Նույնականացումը պատասխանում է, թե ով է մարդը, իրավասությունը՝ թե ինչի կարող է հասնել։ Պահեք դրանք որպես երկու քայլ, որովհետև հաջող մուտքը տրամադրում չէ։ Գիտակցաբար նշանակեք նախատեսված երթուղիները, ռեսուրսների թույլտվությունները և վարչական իրավունքները, և հաստատեք, որ չկապված հասանելիությունը մնում է մերժված։ Այնտեղ, որտեղ տեղակայումը աջակցում է անհատական ինքնություններ, տրամադրեք մեկը յուրաքանչյուր անձի համար՝ ուրիշի պրոֆիլը փոխանցելու փոխարեն, որովհետև համօգտագործված պրոֆիլը չի կարող հետ կանչվել մեկ անձի համար։

Կլիենտի նյութը նույնպես կարևոր է։ Ավտոմատ մուտքի պրոֆիլը և ինտերակտիվ օգտատերերի մուտքը ներկայացնում են տարբեր նույնականացման հարաբերություններ, և մեկը մյուսով փոխարինելը փոխում է, թե ինչ է սերվերը իրականում ստուգում։

Հասանելիության չեղարկումը գրանցման մաս է

Գրանցեք երեք սեփականատեր, մինչ օգտատերը ստեղծվում է՝ ով է վավերացնում հաշիվը, ով է լիազորում VPN հասանելիությունը, և որ սարքը կամ պրոֆիլն է ներկայացնում կապը։ Դրանք կարող են լինել երեք տարբեր համակարգեր, և չեղարկման պլանը, որը նշում է դրանցից միայն մեկը, բաց է թողնում մի ուղի։ Երբ մարդը հեռանում է, հեռացրեք իրավասությունը դրա սեփականատիրոջից և չեղարկեք յուրաքանչյուր տրված հավատարմագիր դրա սեփականատիրոջ մոտ։ Ներբեռնված ֆայլը ջնջելը չեղարկում չէ, և տեղական գրառումը ջնջելը նույնպես չէ, եթե արտաքին ինքնությունը դեռ նույնականացվում է։

Այնուհետև փորձարկեք գրանցումը այնպես, ինչպես կաներ հարձակվողը՝ միացեք մեկ անգամ նոր ինքնությամբ, հաստատեք նախատեսված ռեսուրսի հասանելիությունը և հաստատեք, որ չկապված ռեսուրսը դեռ մերժում է։ Աշխատող առաջին կապը գումարած բացասական թեստը ավարտված գրանցում է։

Պահեք գրառումը այն պրոֆիլի հետ, որին այն պատկանում է։ Հաջորդ աուդիտորը կհարցնի, թե ով կարող էր միանալ տվյալ ամսում, և պատասխանը այդ երեք սեփականատերերի մեջ է։