Tvær innskráningarskoðanir eru ekki tveir þættir: VPN og RADIUS

Að bæta öðru auðkenningarbackendi við VPN-gátt virðist eins og að bæta við öðrum þætti. Venjulega bætir það við annarri skoðun, sem er annar hlutur með öðrum bilunarmáta. Hvort bæði verða að takast, hvað hvort sannar og hvað gerist þegar annað er ekki tiltækt eru þrjár aðskildar ákvarðanir. Ef þetta er gert rangt verður gáttin strangari í sýningunni og veikari í niðurföllum.

Hvað annað backend sannar í raun

Leit í staðbundnum reikningi sannar að nafn sé til í gagnagrunni og að lykilorð hafi passað við það. RADIUS-skipti sanna að RADIUS-þjónn skilaði Access-Accept fyrir eiginleikana sem hann fékk. Hvorug fullyrðingin nefnir tegund þáttar, því bæði staðfesta þekkingu. Og leiðbeining NIST um stafræna auðkenningu telur mismunandi tegundir þátta og auðkennara þeirra, ekki þjóna eða biðla.

Það er lögmæt hönnun þar sem bæði kerfin taka þátt. Miðlæg þjónusta getur auðkennt einstaklinginn á meðan gáttin athugar sjálfstætt hvort þessi reikningur eigi rétt á þessari göng. Það er heimild við hlið auðkenningar, og að kalla það tvíþátta ruglar stefnuskoðun saman við sönnun um eign.

RADIUS getur borið raunverulegan annan þátt þegar það stendur fyrir framan eitthvað sem staðfestir einn, svo sem push-samþykki eða vélbúnaðartákn. Umslagið segir ekki hvaða auðkennara notandinn sýndi, svo lesið stefnu bakendans frekar en merkimiða gáttarinnar.

AND, OR og vari eru mismunandi vörur

Áður en útfærslur eru bornar saman, ákveðið hvað bæði þýðir í kröfunni ykkar. AND-stefna krefst þess að hver nefnd skoðun standist, OR-stefna samþykkir þá sem tekst, og vari prófar hina aðeins við tilgreindar bilunaraðstæður. Þessar þrjár hegða sér andstætt í niðurföllum, og venjulega er aðeins ein þeirra það sem endurskoðunin átti við.

Að bæta tveimur backend-færslum við stillingaskjá opinberar ekki hvaða stefnu varan framfylgir. Sumar gáttir keðja viðbætur í röð og stöðva við fyrstu synjun, sem er AND aðeins þegar hver viðbót er skyldubundin. Aðrar meðhöndla staðbundinn reikning sem yfirskrift, sem gerir miðlægt niðurfall að framhjáhaldi. Áreiðanlega svarið er skjalfest neikvætt próf fyrir hverja leið, keyrt á því buildi sem þið dreifið.

Vari á skilið mestan grunsemdir, því það er til að halda áfram að virka þegar eitthvað er bilað. Vari sem samþykkir staðbundið lykilorð hvenær sem RADIUS er óaðgengilegt hefur breytt miðlægri stefnu í aðra, veikari hurð.

Tvöföld skoðun OpenVPN er áþreifanlegt tilvik

Samfélags-OpenVPN 2.6 krefst bæði biðlara-vottorðs og stillta auth-user-pass-verify skripts þegar bæði eru virk. Það er skjalfest AND milli vottorðsstaðfestingar og skriftu auðkenningargagna, og það eru sannarlega tvær skoðanir. Það er samt ekki sjálfkrafa tvær tegundir þátta, þar sem skriftan kann aðeins að staðfesta lykilorð.

Samsetningin lætur líka tengingarspurninguna vera opna. Vottorð auðkennir venjulega tæki á meðan auðkenningargögnin auðkenna einstakling, og ekkert í sjálfgefnu flæðinu krefst þess að bæði vísi til sama aðila. Ákveðið hvaða pör eru leyfð og framfylgið svo þessu korti inni í staðfestingarskriftunni eða í síðara heimildarskrefi.

Aðeins-vottorð stilling er ein skoðun, studd lykli sem kann eða kann ekki að vera varinn með PIN. PIN gerir sama auðkenningargagn að þekkingu ásamt eign aðeins ef ekki er hægt að nota lykilinn án þess. Að láta lykilinn ódulkóðaðan á diski minnkar seinni hlutann í skráarheimild.

Frameiðendur tækja byggja sína eigin pípulagnir, oft PAM-einingu eða RADIUS-viðbót bak við vefstjórnborð. Hegðun samfélagsins er viðmið um hvernig tvöfaldar skoðanir líta út, ekki lýsing á því hvernig tæki sameinar þær.

Athugið samsetninguna á ykkar gátt

Lesið stillingarnar áður en þið treystið samantekt stjórnborðsins. Línurnar sem ákvarða stefnuna eru vottorðsstilling, skriftan auðkenningargagna og röð viðbóta.

grep -E 'verify-client-cert|auth-user-pass-verify|plugin' /etc/openvpn/server.conf
openssl x509 -in /etc/openvpn/pki/issued/client01.crt -noout -subject -serial
radtest alice 'wrong-password' 127.0.0.1 0 testing123

grep sýnir hvort vottorð er krafist og hvaða skrifta keyrir eftir það, og röðin skiptir meira máli en nöfnin gefa til kynna. Vottorðsdumpið gefur auðkenninguna sem gáttin mun sjá, þar á meðal CN og raðnúmerið sem þið þurfið fyrir tengingarkortið. RADIUS-prófið er neikvæða tilfellið: rangt lykilorð verður að gefa Access-Reject og rétt Access-Accept. Ef synjað auðkenningargagn gefur samt lotu er skriftan alls ekki á auðkenningarleiðinni.

Keyrið síðan niðurfallstilfellið á rannsóknarstofueintaki: stöðvið skyldubundið backend og tengist með gild auðkenningargögn. Vænt niðurstaða er synjun, og hvað sem annað er þá er það varastefnan sem enginn skjalfesti.

Skrifið kröfuna sem neikvæð tilfelli

Nothæf krafa nefnir sannanirnar, reikningana sem mega leggja þær fram og niðurstöðuna þegar staðfestingaraðili vantar. Hún tilgreinir líka leyfilega pörun milli auðkenningar tækis og auðkenningar einstaklings. Það er nákvæmara en vöruheiti á innkaupapöntuninni, og hægt er að prófa það.

Móttaka ætti að fela í sér fjórar synjanir: óhæfan staðbundinn reikning, skort á skyldubundinni sönnun, ógilt annan þátt og óaðgengilegt skyldubundið backend. Hver synjun þarf loglínu sem aðgreinir hana frá hinum, annars byrjar næsta atvik á getgátum. Skráið hvaða eining tók hverja ákvörðun, því gáttin, RADIUS-þjónninn og skráin munu hver um sig kenna hinum tveimur um.

Keyrið fjórar synjanirnar aftur eftir hverja viðbótar- eða fastbúnaðarbreytingu. Þær eru ódýrar, og stefnan sem þær verja er sá hluti sem árásarmaður prófar fyrst.