Mendaftarkan Pengguna VPN: Temukan Pemilik Identitas Lebih Dulu

Seseorang meminta akses VPN, dan naluri pertama adalah menjalankan adduser di server. Naluri itu hanya benar pada sebagian kecil penerapan. Sebelum membuat apa pun, buka konfigurasi server dan cari tahu produk apa yang berjalan di sana dan di mana ia memvalidasi kredensial, karena akun bisa berada di basis data produk, di penyedia identitas, atau di tumpukan autentikasi host itu sendiri. Membuat jenis akun yang salah membuat orang tersebut memiliki login yang berfungsi tetapi tanpa terowongan.

Profil klien yang menyebut OpenVPN menjelaskan protokolnya, bukan sistem identitas di belakangnya.

Mulai dari server, bukan dari adduser

Identifikasi produknya lebih dulu. Community OpenVPN adalah daemon ditambah autentikasi apa pun yang Anda sambungkan, sedangkan Access Server adalah produk dengan lapisan penggunanya sendiri. Minta konfigurasi, nama unit, dan daftar paket, lalu periksa apakah ada antarmuka web untuk manajemen pengguna. Kemudian lihat bagaimana profil yang diterapkan mengharapkan klien membuktikan siapa mereka: sertifikat, nama pengguna dan kata sandi, atau keduanya. Jawaban itu menyebut sistem yang memiliki akun tersebut.

Baru setelah itu frasa membuat pengguna memiliki arti. Dalam penerapan yang hanya memakai sertifikat, artinya menerbitkan identitas perangkat melalui proses yang disetujui, dan login Unix tidak mengubah apa pun. Dalam penerapan dengan kata sandi, artinya backend yang benar-benar memvalidasi kata sandi.

Empat backend, empat tempat membuat akun

Autentikasi lokal Access Server menyimpan akun di basis datanya sendiri, sehingga antarmuka untuk membuatnya milik produk, bukan milik host. PAM mendelegasikan validasi ke tumpukan sistem operasi, itulah sebabnya akun Unix lokal dapat menjadi bagian pendaftaran ketika layanan memilih tumpukan itu. LDAP, RADIUS, dan SAML memindahkan validasi ke layanan eksternal, tempat penyediaan, kebijakan kata sandi, dan MFA berada. Access Server masih dapat menyimpan sertifikat dan izin per pengguna dalam keempat kasus, dan itulah yang membuat pemisahan ini membingungkan.

Periksa metode efektif untuk pengguna tertentu ini, bukan nilai bawaan global. Access Server 2.10 dan versi sesudahnya dapat menerapkan metode autentikasi berbeda per grup atau per pengguna, jadi nilai bawaan lokal tidak membuktikan bahwa akun di depan Anda divalidasi secara lokal.

Hak adalah keputusan terpisah

Autentikasi menjawab siapa orangnya; hak menjawab apa yang boleh dicapainya. Pertahankan keduanya sebagai dua langkah, karena login yang berhasil bukan pemberian hak. Tetapkan rute yang dimaksud, izin sumber daya, dan hak administratif secara sengaja, dan pastikan akses yang tidak terkait tetap ditolak. Jika penerapan mendukung identitas individual, terbitkan satu per orang alih-alih meneruskan profil orang lain, karena profil bersama tidak dapat dicabut untuk satu orang saja.

Materi klien juga penting. Profil login otomatis dan login pengguna interaktif mewakili hubungan autentikasi yang berbeda, dan menukar yang satu dengan yang lain mengubah apa yang sebenarnya diverifikasi server.

Mencabut akses adalah bagian dari pendaftaran

Catat tiga pemilik saat pengguna dibuat: siapa yang memvalidasi akun, siapa yang mengizinkan akses VPN, dan perangkat atau profil mana yang mewakili koneksi. Itu bisa tiga sistem berbeda, dan rencana pencabutan yang hanya menyebut satu di antaranya meninggalkan jalur terbuka. Saat orang itu pergi, hapus hak dari pemiliknya dan cabut setiap kredensial yang diterbitkan pada pemiliknya. Menghapus berkas yang diunduh bukan pencabutan, dan menghapus entri lokal juga bukan jika identitas eksternal masih diautentikasi.

Lalu uji pendaftaran seperti yang akan dilakukan penyerang: hubungkan sekali dengan identitas baru, pastikan akses ke sumber daya yang dimaksud, dan pastikan sumber daya yang tidak terkait tetap menolak. Koneksi pertama yang berhasil ditambah uji negatif adalah pendaftaran yang lengkap.

Simpan catatan bersama profil tempat catatan itu berada. Auditor berikutnya akan bertanya siapa yang dapat terhubung selama bulan tertentu, dan jawabannya ada pada ketiga pemilik itu.