VPN-aðgangur þjónustureiknings: skírteini eða sameiginleg innskráning

Tvær hönnur ná yfir nánast hverja óeftirlitsstýrða VPN-uppsetningu: sameiginleg mannleg innskráning sem geymd er í skriftu, eða vélarskírteini bundið við hýsilinn. Þær mistakast á mismunandi stöðum, sem skiptir meira máli en hraði uppsetningar. Geymt lykilorð brotnar þegar eigandi þess breytir því eða fer; skírteini brotnar þegar það rennur út eða þegar hýsillinn er endurbyggður án lykilsins. Þrjú skilyrði ráða því hvaða kostnað þú getur borið, og hvorug hönnunin takmarkar neitt fyrr en heimildarstefnan gerir það.

Byrjaðu á verkinu, ekki reikningnum

Verkefnið skilgreinir mörkin: hvaða áfangastaðir, hvaða þjónustur, hvaða klukkustundir, hversu lengi lota má keyra. Tunnilleið er aðeins helmingur þessara marka. Hliðið ákveður hvort lotan er leyfð; auðlindin bak við það ákveður hvað lotan getur gert. Skrifaðu listann fyrst, með nafngreindum eiganda, því báðar auðkennishönnunin verða að uppfylla hann.

Haltu auðkenningu og heimild aðskildum á meðan þú skrifar það. Auðkenning svarar hver tengist; heimild svarar hvað lotan má ná eftir á. RADIUS ber seinni hlutann sem eiginleika eins og Filter-Id, Framed-IP-Address, Session-Timeout og Class, og hliðið tengir þá þegar innskráning tekst. Hönnun sem skiptir um innskráningu og lætur heimildina ósnerta hefur ekki takmarkað neitt.

Sameiginleg mannleg innskráning: lykilorðið verður mörkin

Endurnýting mannlegs reiknings er fljótasta leiðin og sú sem eldist verst. Auðkennið er lykilorð, svo það endar í skriftu, umhverfisskrá og uppsetningu áætlanagerðar, og hvert eintak þarf snúning. Þegar eigandinn breytir því á föstudag mistekst verkið í næstu keyrslu og enginn fylgist með.

MFA er þar sem þessi hönnun hrynur venjulega. Skrifta getur ekki svarað push-beiðni, svo reikningurinn er undanskilinn stefnunni, og það er einmitt reikningurinn sem árásarmaður myndi velja. Undantekningar, framhjáhlaup traustra staða og undanþágur á hvern reikning margfaldast, og engin þeirra er sýnileg næstu manneskju sem les stillingar leigjandans.

Eignun er hinn kostnaðurinn. Hver lota í hliðsloggnum ber sama notandanafn, svo nætursamstillingin er ekki aðgreinanleg frá vinnu manneskjunnar sem skrifaði hana, og að afturkalla verkið þýðir að afturkalla þá manneskju.

Vélarskírteini: auðkenni bundið við hýsilinn

Skírteini breytir spurningunni frá því hvað reikningurinn veit í það hvað hýsillinn er. Með EAP-TLS leggur biðlarinn fram skírteini og sannar eign á samsvarandi einkalykli; stefnuserverinn varpar efninu eða tölvureikningnum í hóp og beitir stefnunni fyrir þann hóp. Engin beiðni, ekkert sameiginlegt leyndarmál í textaskrá.

Mörkin sem það skapar eru þrengri en fólk býst við. Skírteini auðkennir hýsilinn, ekki verkið, og hver sem hefur rót- eða staðbundin stjórnandaréttindi getur notað þann lykil á þeim hýsil. Geymdu lykilinn þar sem kerfið verndar hann: ekki útflutningshæfan í skírteinageymslu Windows, TPM-studda þar sem sniðið leyfir, eða rótareigða 0600 skrá á Linux. Málamiðlun hýsilsins er málamiðlun auðkennisins.

Útrun er endurtekin bilun. Skírteini sem rennur út á sunnudag stöðvar verkið á sunnudag, og hliðið tilkynnir venjulega almenna auðkenningarbilun í stað þess að nefna dagsetninguna. Athugaðu dagsetningarnar frá hýsli verksins sem hluta af runbook:

openssl x509 -in client.pem -noout -subject -issuer -dates
ipsec listcerts

Afturköllun þarf slóð sem hliðið athugar. OpenVPN les CRL gegnum crl-verify valkostinn, og strongSwan reiðir sig á CRL eða OCSP eftir því hvernig tengisniðið er byggt. Ef hvorugt er tengt þýðir að fjarlægja hýsil að bíða eftir að skírteinið renni út.

Þrjú skilyrði sem ráða á milli þeirra

Berðu saman við kerfið sem þú hefur, ekki við viðmiðunarhönnun.

Fyrsta skilyrði: getur hliðið heimilað vélarauðkenni? Ef það varpar aðeins RADIUS-notandanafni í skráarnotanda stöðvast skírteinið við heimildina eftir að hafa auðkennt hýsilinn. Annað skilyrði: þarf verkið aðgang að auðlind sem aðeins notandareikningur ber, eins og tengdri deild eða leyfi á sæti? Þá getur vélarauðkenni ekki komið í staðinn, og heiðarlegt svar er sérstakur notandareikningur með þrönga stefnu. Þriðja skilyrði: hver getur snúið auðkenninu án manneskju í lykkjunni? Sjálfvirk skráning gerir skírteini ódýr í viðhaldi; lykilorð sem ein manneskja þekkir ekki.

Lestu töfluna sem kostnaðarlista, ekki sem röðun. Dálkurinn með geymdu leyndarmáli vinnur á afturköllunarhraða og á samhæfni við auðlindir sem skilja aðeins notandareikninga; skírteinisdálkurinn vinnur á snúningi og á að veikja ekki MFA til að láta skriftu virka.

Settu mörkin í stefnuna, eftir auðkenningu

Hvaða auðkenni sem þú velur, heimildarmörkin tilheyra stefnunni sem keyrir eftir auðkenningu. Í NPS eru netstefnur metnar í röð og fyrsta stefnan sem passar við hvert skilyrði beitir stillingum sínum, svo breið stefna ofan á þröngri ræður niðurstöðunni, sama hvað biðlarinn leggur fram. Microsoft skjalfestir skilyrðis- og stillingalíkanið í sínu yfirliti NPS-stefna.

Gefðu verkinu eigin hóp eða stefnuskilyrði, byggt á einhverju sem vélarauðkennið ber: skírteinissniðmáti, auðkenni hringistöðvar eða heimilisfang úr sérstökum laug. Afmarkaðu svo lotuna með eiginleikum: Filter-Id fyrir hlutverkið sem hliðið varpar henni í, stutt Session-Timeout svo fastur verkur auðkenni sig aftur í stað þess að halda lotu í daga, og Framed-IP-Address úr laug sem þú setur eldvegg á hinum vegnum. Forritsheimild heldur sér: tunnill að gagnagrunnsþjóni er ekki leyfi til að lesa töflu inni í honum.

Staðfestu synjanir, skipuleggðu svo fjarlægingu

Aðgangur sem virkar sannar ekkert um minnstu forréttindi. Prófaðu synjanirnar í staðinn: tengstu með auðkenni verksins og reyndu að ná áfangastað utan listans, opnaðu aðra samhliða lotu ef hliðið á aðeins að leyfa eina, og endurtaktu innskráninguna eftir að auðkennið er afturkallað.

Staðfestu svo sömu lotu á tveimur stöðum. Hliðsloggið sýnir auðkennið sem auðkenndist; stefnuserverloggið sýnir hvaða stefna passaði og hvaða eiginleika hún skilaði. Á OpenVPN skráir þjónninn algengt nafn skírteinisins, og ipsec statusall á strongSwan prentar tengda tunnilinn með auðkenninu sem notað er. Ef loggin tvö eru ósammála um auðkennið passar stefnan við eitthvað annað en þú gerir ráð fyrir.

Fjarlæging er hluti af hönnuninni, ekki hreinsunarsprinti. Skrifaðu allt sem á að eyða (skírteini eða reikningur, hópmeðlimur, netstefna, laugarfærsla, eldveggjarregla á markinu) og keyrðu það einu sinni á meðan verkið er auðvelt að endurbyggja.

Ef þú byrjar í dag skaltu vinna í þessari röð: skrifaðu auðlindalistann, veldu auðkennið með þremur skilyrðum, settu mörkin í stefnuna, og æfðu eina synjun áður en verkið fer í gagnið.