VPN сертификаты LDAP бөлігін қорғамайды

Каталогқа қарсы тіркелу деректерін тексеретін VPN кіруі екі бөлек желілік байланысты қамтиды. Пайдаланушының шлюзге қосылуы VPN-нің өз сертификатымен және протокол конфигурациясымен қорғалған. Шлюздің каталогқа қосылуы өз TLS параметрлері, өз сенім қоймасы және өз істен шығу режимдері бар басқа сессия. Біріншісіндегі ештеңе екіншісі туралы ештеңені кепілдемейді.

Осы асимметрия шифрланған болып көрінетін, бірақ bind құпиясөзін ашық жіберетін кірудің механизмі.

Екі байланыс, екі сенім шешімі

Сыртқы сессия — пайдаланушы көретін нәрсе: VPN хост атына байланған, клиентпен расталған және аутентификация алмасуын тасымалдайтын сертификат. Ішкі сессия шлюз ішіндегі каталог клиентіне тиесілі, ол өз байланысын ашады және TLS туралы келіссөз жүргізеді немесе жүргізбейді. Әр тарап өзі сөйлесетін қарсыласты басқа конфигурация файлынан алынған материалмен тексереді. Дұрыс конфигурацияланбаған ішкі бөлік пайдаланушы жағынан көрінбейтін күйде қалады, өйткені сыртқы бөлік дәл жоспарланғандай жұмыс істейді.

Сондықтан істен шығу шулы емес, тыныш. Каталогтың сертификатын ешқашан тексермейтін шлюз пайдаланушыларды бәрібір дұрыс аутентификациялайды; ол оларды тек тексермеген арна арқылы аутентификациялайды.

StartTLS және LDAPS, әдейі таңдалған

StartTLS қарапайым LDAP ретінде ашылады және сол жерде жаңарады, әдетте 389 портында. LDAPS TLS-ті байланыспен бірге бастайды, әдетте 636-да. Екеуі де заңды және адаптер каталог ұсынатын нәрсеге сәйкес болуы керек. StartTLS-ті талап ету оны сынап көруден және жаңару сәтсіз болғанда жалғастырудан өзгеше, және дәл осы айырмашылықта bind құпиясөзі сыртқа шығуы мүмкін. Қатаң режимді баптаңыз және құпиясөзді bind үшін қорғалмаған қосалқы жолға жол бермеңіз.

ldapsearch -H ldap://dc1.corp.example -ZZ -x -D "CN=VPN Bind,OU=Service Accounts,DC=corp,DC=example" -W -b "DC=corp,DC=example" "(sAMAccountName=example-user)" dn

-ZZ параметрі — бүкіл мәселе: сұрау жаңарусыз тыныш жалғаспай, сәтсіз аяқталады. Осы жолдағы атаулар мен тіркелгілер мысалдар. OpenLDAP-тің TLS құжаттамасы соның артындағы сенім параметрлерін қамтиды.

LDAP клиенті қандай сенім қоймасын оқиды?

OpenLDAP клиент кітапханасы өзінің сенім конфигурациясын оқиды, ол жүйелік файлдан немесе плагинге тән параметрден болсын. VPN-нің CA директивасы VPN әріптестеріне қатысты және LDAP кітапханасы сол файлды оқиды деген дәлел емес. Сертификат шынымен қамтитын каталог хост атын, сонымен қатар кітапхана сенетін шығару тізбегін пайдаланыңыз. Active Directory-де көрсетілетін атаудан болжауға емес, дұрыс сервер аутентификациясы қолданысымен каталог қызметінің сертификатын орналастырыңыз.

Әрбір қосалқы мақсат бірдей сәйкестік саясатын қанағаттандыруы керек. Негізгісі расталып, екіншісі расталмаған орта қосалқы жолсыз ортадан нашар, өйткені әлсіз жол үзіліс кезінде ғана анықталады.

Bind тіркелгісі бөлек мәселе болып қалады

Көлікті қорғау bind тіркелгісі жасай алатын нәрсені азайтпайды. Каталогтағы іздеу аясы, топтық авторизация және қызмет тіркелгісінің артықшылықтары бөлек шешімдер, ал кең bind тіркелгісі TLS қосылғаннан кейін де кең күйінде қалады. Интеграцияға қажет ең тар қызмет тіркелгісі мен іздеу базасын пайдаланыңыз, және соңғы нүктені, TLS режимін, сенім иесін және жаңарту процесін VPN конфигурациясымен бірге жазыңыз.

Сертификат сәйкессіздігі пайда болғанда, дұрыс сертификатты немесе тізбекті орналастырыңыз. Тексеруді өшіру көрінетін сәйкессіздікті көрінбейтінге айналдырады және екінші сенім қатынасын тексерілмей қалдырады.

Екі байланыс, екі иесі, екі жаңарту күні. Оларды құжаттамада бөлек ұстау кіруді адал ұстайды.