Skráning VPN-notanda: finndu fyrst eiganda auðkennisins

Einhver biður um VPN-aðgang, og fyrsta viðbragðið er að keyra adduser á þjóninum. Þetta viðbragð er aðeins rétt í þröngum hópi uppsetninga. Áður en þú býrð til nokkuð, opnaðu stillingar þjónsins og finndu út hvaða vara keyrir þar og hvar hún staðfestir skírteini, því reikningurinn getur verið í gagnagrunni vörunnar, hjá auðkennisveitu eða í eigin auðkenningarstakki hýsilsins. Að búa til rangar tegundar reikning skilur manneskjuna eftir með virka innskráningu og án göngs.

Notendasnið sem segir OpenVPN lýsir samskiptareglunum, ekki auðkenniskerfinu á bak við þær.

Byrjaðu á þjóninum, ekki adduser

Greindu vöruna fyrst. Community OpenVPN er púkinn auk hvers kyns auðkenningar sem þú tengdir við hann, en Access Server er vara með eigin notendalagi. Biddu um stillingarnar, heiti einingarinnar og pakkalistann, og athugaðu hvort til er vefviðmót fyrir notendastjórnun. Horfðu svo á hvernig uppsetta sniðið ætlast til að notendur sanni hverjir þeir eru: skírteini, notandanafn og lykilorð, eða hvort tveggja. Það svar nefnir kerfið sem á reikninginn.

Aðeins eftir það hefur setningin að búa til notandann merkingu. Í uppsetningu með aðeins skírteinum þýðir það að gefa út auðkenni tækis í gegnum samþykkt ferli, og Unix-innskráning breytir engu. Í uppsetningu með lykilorði þýðir það bakendann sem staðfestir lykilorðið í raun.

Fjórir bakendar, fjórir staðir til að búa til reikning

Staðbundin auðkenning Access Server heldur reikningum í eigin gagnagrunni, svo viðmótið til að búa þá til tilheyrir vörunni en ekki hýslinum. PAM fela staðfestinguna stakki stýrikerfisins, og þess vegna getur staðbundinn Unix-reikningur verið hluti skráningarinnar þegar þjónustan valdi þetta stakk. LDAP, RADIUS og SAML flytja staðfestinguna í ytra þjónustu, þar sem úthlutun, lykilorðastefna og MFA búa. Access Server getur samt haldið skírteinum og heimildum fyrir hvern notanda í öllum fjórum tilvikum, og það er það sem gerir skiptinguna ruglingslega.

Athugaðu virka aðferð fyrir þennan tiltekna notanda frekar en almenna sjálfgefna gildið. Access Server 2.10 og nýrri getur beitt mismunandi auðkenningaraðferðum fyrir hóp eða notanda, svo staðbundið sjálfgefið gildi sannar ekki að reikningurinn fyrir framan þig sé staðfestur á staðnum.

Rétturinn er sérstök ákvörðun

Auðkenning svarar því hver manneskjan er; rétturinn svarar því hvað hún má ná. Haltu þeim sem tveimur skrefum, því árangursrík innskráning er ekki veiting. Úthlutaðu fyrirhuguðum leiðum, auðlindarheimildum og stjórnunarrétti af ásettu ráði og staðfestu að ótengdur aðgangur sé áfram neitaður. Þar sem uppsetningin styður einstaklingsauðkenni, gefðu út eitt á mann í stað þess að senda snið einhvers annars, því sameiginlegt snið er ekki hægt að afturkalla fyrir einn einstakling.

Notendaefnið skiptir líka máli. Snið með sjálfvirkri innskráningu og gagnvirk notendainnskráning tákna mismunandi auðkenningarsambönd, og að skipta öðru út fyrir hitt breytir því sem þjónninn staðfestir í raun.

Afturköllun aðgangs er hluti skráningarinnar

Skrifaðu niður þrjá eigendur meðan notandinn er búinn til: hver staðfestir reikninginn, hver heimilar VPN-aðganginn og hvaða tæki eða snið táknar tenginguna. Það geta verið þrjú mismunandi kerfi, og afturköllunaráætlun sem nefnir aðeins eitt þeirra skilur leið opna. Þegar manneskjan hættir, fjarlægðu réttinn frá eiganda hans og afturkallaðu hvert útgefið skírteini hjá eiganda þess. Að eyða niðurhaldri skrá er ekki afturköllun, og eyðing staðbundinnar færslu er það ekki heldur ef ytra auðkenni auðkennist enn.

Prófaðu svo skráninguna eins og árásarmaður myndi gera: tengdu einu sinni með nýja auðkenninu, staðfestu aðgang að fyrirhugaðri auðlind og staðfestu að ótengd auðlind neiti enn. Fyrsta virka tenging auk neikvæðs prófs er fullkláruð skráning.

Haltu færslunni með sniðinu sem hún tilheyrir. Næsti endurskoðandi mun spyrja hverjir gátu tengst á tilteknum mánuði, og svarið býr hjá þessum þremur eigendum.