Қызметтік тіркелгінің VPN қатынасы: сертификат немесе ортақ кіру
Қадағалаусыз VPN қатынасы үшін машина сертификатын сақталған құпиясөзбен салыстырыңыз және нақты рұқсат шегін кіруден кейін орындалатын саясатқа қойыңыз.
Екі дизайн қадағалаусыз VPN конфигурациясының барлығын дерлік қамтиды: скриптте сақталған ортақ адамдық кіру немесе хостқа байланған машина сертификаты. Олар әртүрлі жерде істен шығады, бұл конфигурация жылдамдығынан маңыздырақ. Сақталған құпиясөз иесі оны өзгерткенде немесе кеткенде бұзылады; сертификат мерзімі біткенде немесе хост кілтсіз қайта құрылғанда бұзылады. Қандай шығынды көтере алатыныңызды үш шарт шешеді, және авторизация саясаты оны жасамайынша ешбір дизайн ештеңені шектемейді.
Тіркелгіден емес, тапсырмадан бастаңыз
Тапсырма шекараны анықтайды: қандай межелер, қандай қызметтер, қандай сағаттар, сессия қанша уақыт жүре алады. Туннель бағыты сол шекараның жартысы ғана. Шлюз сессияға рұқсат етілгенін шешеді; оның артындағы ресурс сессияның не істей алатынын шешеді. Алдымен тізімді жазыңыз, аталған иесімен, өйткені екі сәйкестік дизайны да оны қанағаттандыруы керек.
Оны жазу кезінде аутентификация мен авторизацияны бөлек ұстаңыз. Аутентификация кім қосылатынын жауап береді; авторизация сессия содан кейін неге жете алатынын жауап береді. RADIUS екінші бөлігін Filter-Id, Framed-IP-Address, Session-Timeout және Class сияқты атрибуттар ретінде алып жүреді, ал шлюз кіру сәтті болған соң оларды қосады. Кіруді ауыстырып, авторизацияны тиіспеген күйде қалдыратын дизайн ештеңені шектемеді.
Ортақ адамдық кіру: құпиясөз шекараға айналады
Адам тіркелгісін қайта пайдалану ең жылдам жол және ең нашар қартаятын жол. Тану деректері құпиясөз, сондықтан ол скриптке, орта файлына және жоспарлаушы конфигурациясына түседі, әр көшірме айналдыруды қажет етеді. Иесі оны жұма күні өзгертсе, тапсырма келесі жүгірісте істен шығады және ешкім қарап тұрмайды.
MFA — бұл дизайн әдетте құлайтын жер. Скрипт push сұранысына жауап бере алмайды, сондықтан тіркелгі саясаттан шығарылады, және бұл шабуылдаушы таңдар тіркелгінің дәл өзі. Ерекшеліктер, сенімді орынды айналып өтулер және тіркелгі бойынша босатулар көбейеді, және олардың ешқайсысы жалдаушы параметрлерін оқыған келесі адамға көрінбейді.
Тиістілік — екінші шығын. Шлюз журналындағы әр сессия бірдей пайдаланушы атын алып жүреді, сондықтан түнгі синхрондауды оны жазған адамның жұмысынан ажырату мүмкін емес, және тапсырманы кері қайтару сол адамды кері қайтаруды білдіреді.
Машина сертификаты: хостқа байланған сәйкестік
Сертификат сұрақты тіркелгінің не білетінінен хосттың не екеніне ауыстырады. EAP-TLS кезінде клиент сертификат ұсынып, сәйкес жеке кілттің иелігін дәлелдейді; саясат сервері субъектіні немесе компьютер тіркелгісін топқа сәйкестендіріп, сол топ үшін саясатты қолданады. Сұраныс жоқ, мәтіндік файлда отырған ортақ құпия жоқ.
Ол жасайтын шекара адамдар күткеннен тар. Сертификат хостты аутентификациялайды, тапсырманы емес, және root немесе жергілікті әкімші құқығы бар кез келген адам сол хостта бұл кілтті пайдалана алады. Кілтті платформа қорғайтын жерде ұстаңыз: Windows сертификат қоймасында экспортталмайтын, профиль рұқсат еткен жерде TPM қолдауымен немесе Linux-та root-қа тиесілі 0600 файлы. Хосттың бұзылуы — тіркелу деректерінің бұзылуы.
Мерзімнің бітуі — қайталанатын ақау. Жексенбіде мерзімі бітетін сертификат тапсырманы жексенбіде тоқтатады, және шлюз әдетте күнді атаудың орнына жалпы аутентификация қатесін хабарлайды. Күндерді тапсырма хостынан runbook бөлігі ретінде тексеріңіз:
openssl x509 -in client.pem -noout -subject -issuer -dates
ipsec listcertsКері қайтару шлюз тексеретін жолды қажет етеді. OpenVPN CRL-ді crl-verify опциясы арқылы оқиды, ал strongSwan қосылым профилінің құрылысына қарай CRL немесе OCSP-ге тәуелді. Екеуі де қосылмаған болса, хостты жою сертификаттың мерзімі бітуін күтуді білдіреді.
Олардың арасында шешетін үш шарт
Салыстыруды өз платформаңызбен жасаңыз, анықтамалық дизайнмен емес.
Бірінші шарт: шлюз машина сәйкестігін авторизациялай ала ма? Егер ол тек RADIUS пайдаланушы атын каталог пайдаланушысына сәйкестендірсе, сертификат хостты аутентификациялап, содан кейін авторизацияда тұрып қалады. Екінші шарт: тапсырмаға тек пайдаланушы тіркелгісі алып жүретін ресурсқа қатынас керек пе, мысалы салынған ортақ қалта немесе орын үшін лицензия? Онда машина сәйкестігі алмастыра алмайды, және адал жауап — шектеулі саясаты бар арнайы пайдаланушы тіркелгісі. Үшінші шарт: циклде адамсыз тіркелу деректерін кім айналдыра алады? Автоматты тіркеу сертификаттарды ұстауды арзан етеді; бір адам білетін құпиясөз — жоқ.
| Constraint | Machine certificate | Dedicated user account with stored secret |
|---|---|---|
| Unattended login | Private key proof, no prompt | Only if the account is exempted from MFA |
| Resource expects a user identity | Works only when the resource accepts computer accounts | Matches the access a person would have |
| Rotation | Re-enrollment, often automated | Secret change plus redeploy of every copy |
| Revocation speed | Tied to CRL or OCSP refresh | Disable the account, immediate |
Кестені дәрежелеу емес, шығындар тізімі ретінде оқыңыз. Сақталған құпия бағаны кері қайтару жылдамдығында және тек пайдаланушы тіркелгілерін түсінетін ресурстармен үйлесімділікте жеңеді; сертификат бағаны айналдыруда және скрипт жұмыс істеуі үшін MFA-ны әлсіретпеуде жеңеді.
Шекті саясатқа қойыңыз, аутентификациядан кейін
Қандай сәйкестік таңдасаңыз да, рұқсат шегі аутентификациядан кейін орындалатын саясатқа жатады. NPS-те желілік саясаттар ретімен бағаланады және әр шартқа сәйкес келетін бірінші саясат өз параметрлерін қолданады, сондықтан тар саясаттың үстінде тұрған кең саясат клиент не ұсынса да нәтижені шешеді. Microsoft шарт пен параметр моделін өзінің NPS саясаттарына шолуда.
Тапсырмаға өз тобын немесе саясат шартын беріңіз, машина сәйкестігі алып жүретін нәрсеге негіздеп: сертификат үлгісі, қоңырау станциясының идентификаторы немесе арнайы пулдан мекенжай. Содан кейін сессияны атрибуттармен шектеңіз: шлюзіңіз сәйкестендіретін рөл үшін Filter-Id, кептеліп қалған тапсырма күндер бойы сессия ұстаудың орнына қайта аутентификациялануы үшін қысқа Session-Timeout және екінші жақта firewall қолданатын пулдан Framed-IP-Address. Қолданба авторизациясы бөлек қалады: дерекқор серверіне туннель оның ішіндегі кестені оқуға рұқсат емес.
Бас тартуларды тексеріңіз, содан кейін жоюды жоспарлаңыз
Жұмыс істейтін қатынас ең аз артықшылық туралы ештеңе дәлелдемейді. Оның орнына бас тартуларды сынап көріңіз: тапсырма сәйкестігімен қосылып, тізімнен тыс межеге жетуге тырысыңыз, шлюз тек біреуіне рұқсат беруі керек болса, екінші қатарлас сессия ашыңыз, және тіркелу деректерін кері қайтарғаннан кейін кіруді қайталаңыз.
Содан кейін сол сессияны екі жерде растаңыз. Шлюз журналы аутентификацияланған сәйкестікті көрсетеді; саясат серверінің журналы қай саясат сәйкес келгенін және қандай атрибуттарды қайтарғанын көрсетеді. OpenVPN-де сервер сертификаттың ортақ атын жазады, ал strongSwan-дағы ipsec statusall пайдаланылып жатқан сәйкестікпен орнатылған туннельді басып шығарады. Екі журнал сәйкестік туралы келіспесе, саясат сіз болжағаннан басқа нәрсеге сәйкес келеді.
Жою дизайнға жатады, тазалау спринтіне емес. Жойылуы керек барлығын жазыңыз (сертификат немесе тіркелгі, топ мүшелігі, желілік саясат, пул жазбасы, нысандағы firewall ережесі) және тапсырманы қайта құру оңай кезде оны бір рет орындаңыз.
Бүгін бастасаңыз, осы ретпен жұмыс істеңіз: ресурстар тізімін жазыңыз, сәйкестікті үш шартпен таңдаңыз, шекті саясатқа қойыңыз және тапсырма іске қосылмас бұрын бір бас тартуды жаттықтырыңыз.