Екі кіру тексерісі екі фактор емес: VPN және RADIUS

VPN шлюзіне екінші аутентификациялық backend қосу екінші фактор қосу сияқты сезіледі. Әдетте ол екінші тексеруді қосады, ал бұл басқа сәтсіздік режимдері бар басқа объект. Екеуі де сәтті болуы керек пе, әрқайсысы нені дәлелдейді және біреуі қолжетімсіз болғанда не болады, бұл үш бөлек шешім. Қателессеңіз, шлюз демонстрацияда қатаңырақ, ал іркіліс кезінде әлсізірек болады.

Екінші backend шын мәнінде нені дәлелдейді

Жергілікті тіркелгіден іздеу атаудың дерекқорда бар екенін және құпиясөздің оған сәйкес келгенін дәлелдейді. RADIUS алмасуы RADIUS серверінің алған атрибуттар үшін Access-Accept қайтарғанын дәлелдейді. Екі тұжырымның ешқайсысы фактор түрін атамайды, себебі екеуі де білімді тексереді. Ал NIST цифрлық сәйкестік жөніндегі нұсқаулығы фактордың түрлі түрлерін және олардың аутентификаторларын санайды, серверлерді немесе сұрауларды емес.

Екі жүйе де қатысатын заңды дизайн бар. Орталық қызмет адамды аутентификациялай алады, ал шлюз бұл тіркелгінің осы туннельге құқығы бар-жоғын дербес тексереді. Бұл аутентификацияның қасындағы авторизация, және оны екі фактор деп атау саясат тексерісін иелену дәлелімен шатастырады.

RADIUS нақты екінші факторды алып жүре алады, егер ол біреуін тексеретін нәрсенің алдында тұрса, мысалы push мақұлдау немесе аппараттық токен. Конверт пайдаланушы қандай аутентификаторларды көрсеткенін айтпайды, сондықтан шлюз жапсырмасын емес, backend саясатын оқыңыз.

AND, OR және қосалқы әртүрлі өнімдер

Іске асыруларды салыстырмас бұрын, талабыңыздағы екеуі де нені білдіретінін шешіңіз. AND саясаты әр аталған тексерудің өтуін талап етеді, OR саясаты сәтті болғанын қабылдайды, ал қосалқы екіншісін тек мәлімделген сәтсіздік шарттарында қолданып көреді. Бұл үшеуі іркіліс кезінде қарама-қарсы әрекет етеді, және әдетте олардың біреуі ғана шолу көздеген нәрсе.

Конфигурация экранына екі backend жазбасын қосу өнім қандай саясатты қолданатынын ашпайды. Кейбір шлюздер plugin-дерді ретімен тізбектеп, бірінші бас тартуда тоқтайды, бұл әр plugin міндетті болғанда ғана AND. Басқалары жергілікті тіркелгіні қайта жазу ретінде қарастырады, бұл орталық іркілісті айналып өтуге айналдырады. Сенімді жауап әр жол үшін құжатталған теріс тест, ол сіз орналастыратын build-ке қарсы жүргізіледі.

Қосалқы ең көп күдікке лайық, өйткені ол бірдеңе бұзылғанда жұмысты жалғастыру үшін бар. RADIUS қолжетімсіз болған сайын жергілікті құпиясөзді қабылдайтын қосалқы орталық саясатты екінші, әлсізірек есікке айналдырды.

OpenVPN-нің қосарлы тексерісі нақты жағдай

Қауымдастық OpenVPN 2.6 екеуі де қосылған кезде клиент сертификатын да, конфигурацияланған auth-user-pass-verify скриптін де талап етеді. Бұл сертификатты тексеру мен тіркелу деректерінің скрипті арасындағы құжатталған AND, және бұл шынымен екі тексеру. Бұл әлі автоматты түрде екі фактор түрі емес, өйткені скрипт тек құпиясөзді тексере алады.

Комбинация байланыс мәселесін де ашық қалдырады. Сертификат әдетте құрылғыны сәйкестендіреді, ал деректер адамды сәйкестендіреді, және әдепкі ағында екеуінің бір субъектіге қатысты болуын ешнәрсе талап етпейді. Қандай жұптарға рұқсат етілетінін шешіңіз, содан кейін бұл картаны тексеру скриптінің ішінде немесе кейінгі авторизация қадамында қолданыңыз.

Тек сертификат режимі бір тексеру, ол PIN-мен қорғалуы мүмкін немесе мүмкін емес кілтке сүйенеді. PIN сол деректерді білім қосу иеленуге тек кілт онсыз пайдаланылмайтын болса ғана айналдырады. Кілтті дискіде шифрланбаған күйде қалдыру екінші бөлікті файл рұқсатына дейін қысқартады.

Құрылғы өндірушілері өз құбырларын салады, көбіне веб-консольдің артында PAM модулі немесе RADIUS plugin. Қауымдастық мінез-құлқы қосарлы тексерулердің қалай көрінетініне сілтеме, құрылғы оларды қалай біріктіретінінің сипаттамасы емес.

Комбинацияны өз шлюзіңізде тексеріңіз

Консоль қорытындысына сенбес бұрын конфигурацияны оқыңыз. Саясатты анықтайтын жолдар сертификат режимі, деректер скрипті және plugin реті.

grep -E 'verify-client-cert|auth-user-pass-verify|plugin' /etc/openvpn/server.conf
openssl x509 -in /etc/openvpn/pki/issued/client01.crt -noout -subject -serial
radtest alice 'wrong-password' 127.0.0.1 0 testing123

grep сертификаттың қажет екенін және одан кейін қандай скрипт іске қосылатынын көрсетеді, ал рет атаулар меңзегеннен маңыздырақ. Сертификаттың дампы шлюз көретін сәйкестікті береді, оның ішінде байланыс картасына қажет CN және сериялық нөмір. RADIUS тесті теріс жағдай: қате құпиясөз Access-Reject, ал дұрысы Access-Accept беруі керек. Егер қабылданбаған деректер әлі де сессия берсе, скрипт аутентификация жолында мүлде жоқ.

Содан кейін зертханалық данада іркіліс жағдайын іске қосыңыз: міндетті backend-ті тоқтатып, жарамды деректермен қосылыңыз. Күтілетін нәтиже бас тарту, ал кез келген басқа нәрсе ешкім құжаттамаған қосалқы саясат.

Талапты теріс жағдайлар ретінде жазыңыз

Пайдалануға жарамды талап дәлелдерді, оларды ұсынуға рұқсат етілген тіркелгілерді және тексеруші жоқ кездегі нәтижені атайды. Ол сондай-ақ құрылғы сәйкестігі мен адам сәйкестігі арасындағы рұқсат етілген жұптастыруды көрсетеді. Бұл сатып алу тапсырысындағы өнім атауларынан дәлірек, және оны тексеруге болады.

Қабылдау төрт бас тартуды қамтуы керек: жарамсыз жергілікті тіркелгі, жоқ міндетті дәлел, жарамсыз екінші фактор және қолжетімсіз міндетті backend. Әр бас тартуға оны басқалардан ажырататын журнал жолы қажет, әйтпесе келесі оқиға болжаммен басталады. Қай компонент қандай шешім қабылдағанын жазыңыз, өйткені шлюз, RADIUS сервері және каталог бір-бірін кінәлайды.

Кез келген plugin немесе firmware өзгерісінен кейін төрт бас тартуды қайталаңыз. Олар арзан, және олар қорғайтын саясат шабуылдаушы бірінші тексеретін бөлік.