VPN пайдаланушысын тіркеу: алдымен идентификация иесін табыңыз

Біреу VPN-ға қатынау сұрайды, ал бірінші түйсік — серверде adduser іске қосу. Бұл түйсік тек тар орналастырулар жиынында дұрыс. Бірдеңе жасамас бұрын сервердің конфигурациясын ашып, онда қандай өнім жұмыс істеп тұрғанын және тіркелгі деректерін қайда тексеретінін анықтаңыз, өйткені тіркелгі өнім дерекқорында, идентификация провайдерінде немесе хосттың өз аутентификация стекінде болуы мүмкін. Қате түрдегі тіркелгі жасау адамды жұмыс істейтін кірумен және туннельсіз қалдырады.

Клиент профилінде OpenVPN деп жазылса, ол протоколды сипаттайды, оның артындағы идентификация жүйесін емес.

adduser-ден емес, серверден бастаңыз

Алдымен өнімді анықтаңыз. Community OpenVPN — бұл демон және оған қосқан кез келген аутентификация, ал Access Server — өз пайдаланушы қабаты бар өнім. Конфигурацияны, unit атауын және пакеттер тізімін сұрап, пайдаланушыларды басқаруға арналған веб-интерфейс бар-жоғын тексеріңіз. Содан кейін орналастырылған профиль клиенттерден өздерінің кім екенін қалай дәлелдеуін күтетінін қараңыз: сертификат, пайдаланушы аты мен құпия сөз немесе екеуі де. Сол жауап тіркелгіге ие жүйені атайды.

Осыдан кейін ғана пайдаланушы жасау деген сөз мағынаға ие болады. Тек сертификаттармен орналастыруда бұл бекітілген процесс арқылы құрылғы идентификациясын беруді білдіреді, ал Unix кіруі ештеңені өзгертпейді. Құпия сөзбен орналастыруда бұл құпия сөзді шынымен тексеретін backend-ті білдіреді.

Төрт backend, тіркелгі жасаудың төрт орны

Access Server-дің жергілікті аутентификациясы тіркелгілерді өз дерекқорында сақтайды, сондықтан оларды жасау интерфейсі хостқа емес, өнімге тиесілі. PAM тексеруді операциялық жүйенің стегіне тапсырады, сондықтан қызмет дәл сол стекті таңдаса, жергілікті Unix тіркелгісі тіркеудің бөлігі бола алады. LDAP, RADIUS және SAML тексеруді сыртқы қызметке көшіреді, онда дайындау, құпия сөз саясаты және MFA орналасады. Access Server төрт жағдайда да пайдаланушыға қатысты сертификаттар мен рұқсаттарды ұстай алады, және бөлуді шатастыратын да осы.

Жаһандық әдепкі мәнді емес, осы нақты пайдаланушы үшін әрекет ететін әдісті тексеріңіз. Access Server 2.10 және одан кейінгі нұсқалар топ немесе пайдаланушы бойынша әртүрлі аутентификация әдістерін қолдана алады, сондықтан жергілікті әдепкі мән алдыңыздағы тіркелгінің жергілікті тексерілетінін дәлелдемейді.

Құқық — жеке шешім

Аутентификация адамның кім екеніне жауап береді; құқық оның неге жете алатынына жауап береді. Оларды екі қадам ретінде ұстаңыз, өйткені сәтті кіру беру емес. Көзделген маршруттарды, ресурс рұқсаттарын және әкімшілік құқықтарды әдейі тағайындап, байланысы жоқ қатынаудың бас тартылған күйде қалатынын растаңыз. Орналастыру жеке идентификацияларды қолдайтын жерде басқа біреудің профилін жіберудің орнына әр адамға бір-бірден беріңіз, өйткені ортақ профильді бір адам үшін кері қайтару мүмкін емес.

Клиент материалы да маңызды. Автоматты кіру профилі мен интерактивті пайдаланушы кіруі әртүрлі аутентификация қатынастарын білдіреді, ал біреуін екіншісіне ауыстыру сервердің шын мәнінде нені тексеретінін өзгертеді.

Қатынауды кері қайтару тіркеудің бөлігі

Пайдаланушы жасалып жатқанда үш иені жазып қойыңыз: тіркелгіні кім тексереді, VPN қатынауына кім рұқсат береді және байланысты қай құрылғы немесе профиль білдіреді. Бұлар үш түрлі жүйе болуы мүмкін, ал олардың тек біреуін атайтын кері қайтару жоспары жолды ашық қалдырады. Адам кеткенде құқықты оның иесінен алып тастаңыз және берілген әрбір тіркелгі деректерін оның иесінен кері қайтарыңыз. Жүктелген файлды жою кері қайтару емес, ал сыртқы идентификация әлі аутентификацияланып жатса, жергілікті жазбаны жою да кері қайтару емес.

Содан кейін тіркеуді шабуылдаушы жасайтындай сынап көріңіз: жаңа идентификациямен бір рет қосылып, көзделген ресурсқа қатынауды растаңыз және байланысы жоқ ресурстың әлі де бас тартатынын растаңыз. Жұмыс істейтін бірінші қосылым мен теріс тест — бұл аяқталған тіркеу.

Жазбаны ол тиесілі профильмен бірге сақтаңыз. Келесі аудитор белгілі бір айда кім қосыла алатынын сұрайды, ал жауап сол үш иеде.