VPN аутентификациясының backend-ін ескі хештерді қайта пайдаланбай көшіру
VPN сәйкестіктерін көшіру — көшірме емес, ауысу: аутентификация тізбегін картаға түсіріңіз, пилоттық топты көшіріңіз, тіркелгі деректерінің өзгерістерін сынап көріңіз және қайта орнату өтей алмайтын қалпына келтіруді жоспарлаңыз.
Пайдаланушы атаулары жаңа каталогта пайда болады, көшіру аяқталды деп жарияланады, бірақ кірулер әлі де сәтсіз аяқталады. Шлюзге әлі де қолдау көрсетілетін аутентификация жолы және дұрыс авторизация нәтижесі қажет, ал екеуі де енді тіркелгілерді қамтитын каталогтан туындамайды. Backend-ті көшіру — өмірлік циклі бар ауысу, көшіру жұмысы емес. Төмендегі симптом — айырмашылықты әдетте ашатын симптом.
Симптом: тіркелгілер бар, сессиялар жоқ
Жаңа каталог әрбір пайдаланушы атын қамтиды, сынақ байланысуы сәтті өтеді, ал VPN клиенті әлі де аутентификация қатесін қайтарады. Мұндай үйлесім сәйкестіктің бар екенін, бірақ шлюз пайдаланатын тексеру жолы оған жетпейтінін немесе оны қанағаттандыра алмайтын әдіспен жететінін білдіреді. Екеуі де конфигурация, және бұл әртүрлі мәселелер.
Біріншісі — сымдар: шлюз жауап бермейтін backend-ке сілтейді, қарсы тарап күтпейтін ортақ құпияны пайдаланады немесе жаңа қызмет қайтармайтын атрибутты сұрайды. Екіншісі — криптографиялық: әдіс бастапқы құпияны талап етеді, ал жаңа қойма оның тек хешін ұстайды. Қате мәтіні екі жағдайда да ұқсас, сондықтан екеуі бір мәселе ретінде қарастырылады.
Осы екеуін тіркелгілерге тиіспес бұрын ажырату бір аптаны үнемдейді. Бірі — маршруттау мен сенім мәселесі, екіншісі — тіркелгі деректерін қайта орнату туралы шешім, ал оларды араластыру ешкімге түсініксіз өзгерістер тудырады.
Біреуді көшірмес бұрын тізбекті картаға түсіріңіз
Әр клиент профилі үшін алты нәрсені жазыңыз: сыртқы аутентификация әдісі, ықтимал ішкі әдіс, клиент күтетін сервер сәйкестігі, шлюз бен backend арасындағы интерфейс, шлюз топ мүшелігіне бейнелейтін атрибут және одан туындайтын ресурс саясаты. Оларды ретімен оқу қай буынның иесі жоқ екенін көрсетеді. Әр элементтің иесі бар, ал ауысу ешкім тексермеген жерде сәтсіз аяқталады.
| Link | Question it answers |
|---|---|
| Client profile | Which method and server name does the client use? |
| Inner method | Is there a second authentication step? |
| Server identity | Which certificate or name must the client accept? |
| Gateway to backend | Which protocol, port and shared secret? |
| Attribute mapping | Which returned value becomes group membership? |
| Resource policy | What the resulting session may reach |
Қарапайым каталогқа кіру сол тізбектің қайсысын болса да дерлік өтпейді. Ол тіркелгінің бар екенін және құпия сөздің жұмыс істейтінін дәлелдейді, яғни ешқашан күмән туғызбаған бөлікті.
Хештер әдістер арасында жүрмейді
Тіркелгі деректерінің үйлесімділігін кез келген топ көшпес бұрын бір рет тексеру керек. FreeRADIUS бөлуді анық сипаттайды: сервер өзі орындайтын CHAP тексеруі нақты құпия сөзді қажет етеді, ал MS-CHAP сол құпия сөзді немесе сәйкес NT материалын қабылдайды. Басқа мақсат үшін жасалған хеш екі жағдайдың ешқайсысына сәйкес келмейді, қаншалықты күшті болса да.
Айырмашылық дәлелді кім есептейтінінде. Каталогқа байланыстыру арқылы тексеретін әдіс каталогқа өзі тексере алатынын тексеруге мүмкіндік береді. Сынақ жауабын қайта есептеу арқылы тексеретін әдіс құпияның өзін қажет етеді, өйткені сервер сол есептеуді орындауы керек.
Материал жоқ жерде адал нұсқалар — қолдау көрсетілетін қайта орнату, қайта тіркеу, сыртқы тексеру қызметі немесе әдісті ауыстыру. Қалпына келтіруге болатын құпия сөздерді уақытша экспорттау бұл тізімде жоқ. Ол жобаның ең хаосты аптасында ашық мәтіндегі тіркелгі деректерінің қоймасын жасайды және әдетте көшіруден кейін де қалады.
Пилоттық топ, содан кейін өмірлік цикл өзгерістері
Мақұлданған сәйкестіктердің шағын тобын нақты клиентпен көшіріңіз және төрт нәрсені сынаңыз: жаңа кіру, әдейі қате тіркелгі деректері, сессия жете алатын ресурстар және жете алмайтын ресурстар. Клиент қабылдаған сервер сәйкестігін де тексеріңіз, өйткені сертификат атауының сәйкессіздігі біреу клиент журналын оқымайынша көрінбейді.
Содан кейін енгізу шынымен тәуелді өзгерістерді сынап көріңіз. Құпия сөзді ауыстырыңыз, сертификатты жаңартыңыз немесе қайта тіркеңіз және бір пилоттық тіркелгінің қатынауын алып тастаңыз. Әрқайсысынан кейін әрекетті қай тексеруші өңдегенін растаңыз, өйткені ауысуға дейін жасалған сессия жұмысын жалғастыруы мүмкін және келесі кіру туралы ештеңе дәлелдемейді.
Профиль жеткізуді сәйкестік ауысуынан бөліңіз. Әр топқа өзінің жоспарланған профилі, тіркелгі деректерінің немесе тіркелудің күйі, пайдалануы тиіс аутентификация қызметі және қолдау байланысы қажет, ал бұл жазбалардың ешқайсысында құпия болмауы керек.
Ескі және жаңа жолдар қатар өмір сүрсе, оларды аяқталу күнімен шектеңіз. Автоматты қайта оралу жаңа иесі қатынауды алып тастағаннан кейін тіркелгіні ескі тіркелгі деректері арқылы өткізуі мүмкін, және бұл қолжетімділік ретінде көрсетілген қауіпсіздік регрессиясы.
Қайтару тіркелгі деректерін қалпына келтіре алмайды
Ауысуды кері қайтару каталогты дәл қазіргі күйінде қалдырады. Қайта орнатылған құпия сөз қайта орнатылған күйінде қалады, кері қайтарылған сертификат кері қайтарылған күйінде қалады, ал тіркелгі деректерінің өзгерген пішімі өзгерген күйінде қалады. Бұл каталогтағы оқиғалар, ал шлюз ешқашан олардың көзі болған емес. Қалпына келтіру әр оқиға бойынша анықталуы керек және оның ешбірі үйлесімсіз хештен құпияны қайта құруға тәуелді болмауы керек.
Көшіріліп жатқан қосылысты пайдаланбайтын әкімшілік жолды ұстаңыз. Жаңа аутентификация сәтсіз болғанда, топты тоқтатып, оның құжатталған қалпына келтіру жолын пайдаланыңыз, мерзімді ұстау үшін бәріне аутентификацияны әлсіретпей.
Топтар қамтылғаннан кейін ескі backend тіркелгі деректерін, профильдерді және сенім қатынастарын иелері арқылы шығарыңыз. Ескі жол енді пайдаланушыларды жібермейтінін растаңыз және қолдауға әлі қажет құпиясыз сәйкестік-саясат сәйкестендіруін сақтаңыз. Көшіру жаңа өмірлік цикл жұмыс істеп, ешкім ескі жолмен кіре алмағанда аяқталады, тіркелгілер тізімі толық көрінгенде емес.