Mac ನಲ್ಲಿ Kerberos SSO ಮತ್ತು VPN: ಎರಡು ಸೈನ್-ಇನ್ ಮಾರ್ಗಗಳನ್ನು ಹೋಲಿಸಿ

ಎರಡು ಕಾರ್ಯವಿಧಾನಗಳು Mac ನಲ್ಲಿ ಒಂದೇ ರೀತಿಯ ಸ್ನೇಹಪರ ಫಲಿತಾಂಶವನ್ನು ನೀಡುತ್ತವೆ ಮತ್ತು ಒಳಗೆ ಸಂಪೂರ್ಣವಾಗಿ ವಿಭಿನ್ನವಾಗಿ ವರ್ತಿಸುತ್ತವೆ. ಒಂದು SSO ವಿಸ್ತರಣೆಯ ಮೂಲಕ Kerberos ಟಿಕೆಟ್ಗಳನ್ನು ಪಡೆದು ಭಾಗವಹಿಸುವ ಅಪ್ಲಿಕೇಶನ್ಗಳಿಗೆ ನೀಡುತ್ತದೆ. ಇನ್ನೊಂದು ಗುರುತಿನ ಪೂರೈಕೆದಾರರೊಂದಿಗೆ ಬ್ರೌಸರ್ ಸೆಷನ್ ಇಟ್ಟುಕೊಂಡು ವೆಬ್ ಅಪ್ಲಿಕೇಶನ್ಗಳು ಅದನ್ನು ಗೌರವಿಸಲು ಬಿಡುತ್ತದೆ. ಅವು ನೆಟ್ವರ್ಕ್ನಲ್ಲಿ ಏನು ಬೇಕು, ಅವುಗಳ ರುಜುವಾತುಗಳು ಎಷ್ಟು ಕಾಲ ಉಳಿಯುತ್ತವೆ ಮತ್ತು ಸುರಂಗ ಬೀಳುವ ಕ್ಷಣದಲ್ಲಿ ಏನಾಗುತ್ತದೆ ಎಂಬುದರಲ್ಲಿ ಭಿನ್ನವಾಗಿವೆ.

ಎರಡು ಕಾರ್ಯವಿಧಾನಗಳು, ಒಂದು ಸೈನ್-ಇನ್ ಪರದೆ

ಟಿಕೆಟ್ ಆಧಾರಿತ ಮಾರ್ಗವು Kerberos ಡೊಮೇನ್, ಕೀ ವಿತರಣಾ ಕೇಂದ್ರ ಮತ್ತು ಅದರೊಂದಿಗೆ ಒಪ್ಪುವ ಗಡಿಯಾರವನ್ನು ಅವಲಂಬಿಸಿದೆ. ಬ್ರೌಸರ್ ಮಾರ್ಗವು ತಲುಪಬಹುದಾದ ಗುರುತಿನ ಪೂರೈಕೆದಾರ, ಕುಕಿ ಅಥವಾ ಟೋಕನ್ ಮತ್ತು ಆ ನೀಡುಗರನ್ನು ನಂಬುವ ಅಪ್ಲಿಕೇಶನ್ ಅನ್ನು ಅವಲಂಬಿಸಿದೆ. ಎರಡನ್ನೂ ಸೈನ್-ಇನ್ ಸಮಯದಲ್ಲಿ ಪ್ರಾರಂಭವಾಗುವಂತೆ ಸಂರಚಿಸಬಹುದು, ಆದ್ದರಿಂದ ಅವನ್ನು ಒಂದೇ ವೈಶಿಷ್ಟ್ಯ ಎಂದು ತಪ್ಪಾಗಿ ಭಾವಿಸಲಾಗುತ್ತದೆ. ಯಾವುದನ್ನು ಸ್ವೀಕರಿಸಬೇಕೆಂದು ಅಪ್ಲಿಕೇಶನ್ಗಳು ನಿರ್ಧರಿಸುತ್ತವೆ, ಮತ್ತು Mac ಎರಡನ್ನೂ ಒಂದೇ ಸಮಯದಲ್ಲಿ ಕಾನೂನುಬದ್ಧವಾಗಿ ಚಲಾಯಿಸಬಹುದು.

ಬಳಕೆದಾರರು ಅಪ್ಲಿಕೇಶನ್ ತೆರೆದಾಗ ಅದು ಏನನ್ನು ಪರಿಶೀಲಿಸುತ್ತದೆ ಎಂದು ಕೇಳುವ ಮೂಲಕ ಅವನ್ನು ಹೋಲಿಸಿ. Kerberos ಡೊಮೇನ್ಗೆ ಸೇರಿದ ಫೈಲ್ ಸೇವೆಗೆ ಸೇವಾ ಟಿಕೆಟ್ ಬೇಕು, ಮತ್ತು ಎಷ್ಟೇ ಬ್ರೌಸರ್ ಸೆಷನ್ ಇದ್ದರೂ ಅದನ್ನು ತೃಪ್ತಿಪಡಿಸುವುದಿಲ್ಲ. ಆಧುನಿಕ ಗುರುತಿನ ಪೂರೈಕೆದಾರರ ಹಿಂದಿನ ವೆಬ್ ಅಪ್ಲಿಕೇಶನ್ಗೆ ಆ ಪೂರೈಕೆದಾರರ ಟೋಕನ್ ಬೇಕು ಮತ್ತು Kerberos ಟಿಕೆಟ್ ಅನ್ನು ಸಂಪೂರ್ಣವಾಗಿ ನಿರ್ಲಕ್ಷಿಸುತ್ತದೆ. ಯಾವ ಪರಿಶೀಲನೆ ನಡೆಯುತ್ತದೆ ಎಂದು ತಿಳಿದ ನಂತರ, ನಿಯೋಜನೆಯ ಪ್ರಶ್ನೆಗಳು ಸಾಮಾನ್ಯದ ಬದಲು ನಿರ್ದಿಷ್ಟವಾಗುತ್ತವೆ.

Kerberos ವಿಸ್ತರಣೆಗೆ ನೆಟ್ವರ್ಕ್ನಲ್ಲಿ ಏನು ಬೇಕು

Apple ನ Kerberos SSO ವಿಸ್ತರಣೆ ಮಾರ್ಗದರ್ಶಿ ಸಕ್ರಿಯ ಟಿಕೆಟ್ ಸಂಪಾದನೆಯೊಂದಿಗೆ ಸ್ಥಳೀಯ Active Directory ದೃಢೀಕರಣವನ್ನು ವಿವರಿಸುತ್ತದೆ, ಅದು ಡೊಮೇನ್ ಬೈಂಡಿಂಗ್ ಬದಲು ಸ್ಥಳೀಯ ಖಾತೆಗಳೊಂದಿಗೆ ಜೋಡಿಯಾಗಿದೆ. ಅದು ಮಾಡಲಾಗದ್ದು ಡೊಮೇನ್ ನಿಯಂತ್ರಕರಿಗೆ ಮಾರ್ಗವನ್ನು ಕಲ್ಪಿಸುವುದು. Mac ಗೆ Kerberos ಸೇವಾ ದಾಖಲೆಗಳಿಗೆ ಉತ್ತರಿಸುವ ರಿಝಾಲ್ವರ್ ಮತ್ತು ಅನುಮೋದಿತ ಸುರಂಗದ ಮೂಲಕ ಅವುಗಳನ್ನು ತಲುಪುವ ಮಾರ್ಗ ಬೇಕು. ಸ್ವಚ್ಛವಾಗಿ ಸ್ಥಾಪನೆಯಾಗುವ ಪ್ರೊಫೈಲ್ ಕ್ಲೈಂಟ್ನಿಂದ ಡೊಮೇನ್ ನಿಜವಾಗಿ ಕಂಡುಹಿಡಿಯುವವರೆಗೆ ಏನನ್ನೂ ಸಾಬೀತುಪಡಿಸುವುದಿಲ್ಲ.

ರುಜುವಾತುಗಳನ್ನು ಪರಿಶೀಲಿಸುವ ಮೊದಲು ಅನ್ವೇಷಣೆಯನ್ನು ಪರಿಶೀಲಿಸಿ: Kerberos ಡೊಮೇನ್ಗೆ SRV ದಾಖಲೆಗಳು ಪರಿಹರಿಸಬೇಕು, ಮತ್ತು ಅವು ಹಿಂತಿರುಗಿಸುವ ವಿಳಾಸಗಳು VPN ಮೇಲೆ ಬಂದ ನಂತರ ತಲುಪಬಹುದಾಗಿರಬೇಕು. ಸಮಯವೂ ತಲುಪುವಿಕೆಯಷ್ಟೇ ಮುಖ್ಯ, ಏಕೆಂದರೆ Kerberos ತನ್ನ ಸಹಿಷ್ಣುತೆಯನ್ನು ಮೀರಿ ಜಾರಿದ ಗಡಿಯಾರದಿಂದ ಬಂದ ವಿನಂತಿಗಳನ್ನು ತಿರಸ್ಕರಿಸುತ್ತದೆ, ಮತ್ತು ಉತ್ಪತ್ತಿಯಾಗುವ ದೋಷವು ದೃಢೀಕರಣ ವೈಫಲ್ಯದಂತೆ ಕಾಣುತ್ತದೆ. ಸುರಂಗ ಕೆಳಗಿರುವಾಗ ಸಮಯದ ಮೂಲವನ್ನು ತಲುಪಲಾಗದ Mac ಮತ್ತೆ ಬಂದ ಕ್ಷಣದಲ್ಲಿ ಮತ್ತೆ ವಿಫಲವಾಗುತ್ತದೆ. ಗಡಿಯಾರದ ಮೂಲವನ್ನು ಘಟನೆ ಪ್ರತಿಕ್ರಿಯೆಯಾಗಿ ಅಲ್ಲ, ನಿಯೋಜನೆಯ ಭಾಗವಾಗಿ ಸರಿಪಡಿಸಿ.

klist
sudo sntp -sS time.apple.com

ಪ್ರತಿ-ಅಪ್ಲಿಕೇಶನ್ VPN ವಿಸ್ತರಣೆ ಕೆಲಸ ಮಾಡಬಹುದೇ ಎಂದು ನಿರ್ಧರಿಸುತ್ತದೆ

ಪೂರ್ಣ ಸುರಂಗ ಎಲ್ಲವನ್ನೂ ರೂಟ್ ಮಾಡುತ್ತದೆ ಮತ್ತು ಈ ಸಮಸ್ಯೆಯನ್ನು ಮರೆಮಾಡುತ್ತದೆ. ಪ್ರತಿ-ಅಪ್ಲಿಕೇಶನ್ ಸಂರಚನೆ VPN ಪ್ರೊಫೈಲ್ನಲ್ಲಿ ಹೆಸರಿಸಲಾದ ಅಪ್ಲಿಕೇಶನ್ಗಳನ್ನು ಮಾತ್ರ ರೂಟ್ ಮಾಡುತ್ತದೆ, ಮತ್ತು SSO ವಿಸ್ತರಣೆಯೇ ಟಿಕೆಟ್ಗಳನ್ನು ತರಲು ನೆಟ್ವರ್ಕ್ ಬೇಕಾಗುವ ಪ್ರಕ್ರಿಯೆಯಾಗಿದೆ. ಅದು ಮ್ಯಾಪಿಂಗ್ನಲ್ಲಿಲ್ಲದಿದ್ದರೆ, ಸ್ಥಳೀಯ ಸೈನ್-ಇನ್ ಯಶಸ್ವಿಯಾಗುತ್ತದೆ, ಬ್ರೌಸರ್ಗೆ ಸುರಂಗ ಏರುತ್ತದೆ, ಮತ್ತು ಟಿಕೆಟ್ ಸಂಪಾದನೆ ಇನ್ನೂ ವಿಫಲವಾಗುತ್ತದೆ.

VPN ಸಂರಚನೆಯನ್ನು ಓದಿ ಮತ್ತು ಅದು ಒಳಗೊಳ್ಳಬೇಕಾದ ಪ್ರತಿ ಅಪ್ಲಿಕೇಶನ್ ಅನ್ನು ಪಟ್ಟಿ ಮಾಡಿ, ನಂತರ ಬಂಡಲ್ ಗುರುತಿಸುವಿಕೆಯನ್ನು ಊಹಿಸುವ ಬದಲು ದಾಖಲಿತ ಮ್ಯಾಪಿಂಗ್ ಕಾರ್ಯವಿಧಾನದ ಮೂಲಕ SSO ಘಟಕವನ್ನು ಸೇರಿಸಿ. ಕಾಣುವ ಕ್ಲೈಂಟ್ ಅನ್ನು ಮ್ಯಾಪ್ ಮಾಡುವುದು ಮತ್ತು ಅದರ ಹಿಂದಿನ ಘಟಕವನ್ನು ಮಾಡದಿರುವುದು ಈ ದೋಷದ ಶ್ರೇಷ್ಠ ಉದಾಹರಣೆ. ಮ್ಯಾಪಿಂಗ್ ಅನ್ನು ವಿಸ್ತರಣೆಯೊಂದಿಗೆ ಅದೇ ನಿರ್ವಹಿತ ಪ್ರೊಫೈಲ್ನಲ್ಲಿ ಇರಿಸಿ, ಒಂದರ ಬದಲಾವಣೆ ಇನ್ನೊಂದನ್ನು ಸದ್ದಿಲ್ಲದೆ ಅಮಾನ್ಯಗೊಳಿಸದಂತೆ. ಆ Mac ನಲ್ಲಿ ಎಂದೂ ಸೈನ್-ಇನ್ ಮಾಡದ ಬಳಕೆದಾರರೊಂದಿಗೆ ಪರೀಕ್ಷಿಸಿ, ಏಕೆಂದರೆ ಸಂಗ್ರಹಿತ ಟಿಕೆಟ್ ಮುರಿದ ಮಾರ್ಗವನ್ನು ಆರೋಗ್ಯಕರವಾಗಿ ಕಾಣಿಸಬಹುದು, ನಂತರ ಪಾಸ್ವರ್ಡ್ ಬದಲಾವಣೆಯ ನಂತರ ಮತ್ತೆ ಪರೀಕ್ಷಿಸಿ.

ಬ್ರೌಸರ್ ಗುರುತಿನ ಸೆಷನ್ ಬೇರೆ ಒಪ್ಪಂದ

ಬ್ರೌಸರ್ ಸೆಷನ್ಗೆ Kerberos ಡೊಮೇನ್ ಇಲ್ಲ, ಸೇವಾ ಟಿಕೆಟ್ ಇಲ್ಲ, ಮತ್ತು Kerberos ಅರ್ಥದಲ್ಲಿ ಗಡಿಯಾರ ಸಹಿಷ್ಣುತೆ ಇಲ್ಲ. ಅದಕ್ಕೆ ನೀಡುಗ, ಟೋಕನ್ ಜೀವಿತಾವಧಿ ಮತ್ತು ರಿಫ್ರೆಶ್ ಮಾರ್ಗ ಇದೆ, ಮತ್ತು ಅದರ ವೈಫಲ್ಯ ವಿಧಾನಗಳು ಎಂದೂ ಪೂರ್ಣಗೊಳ್ಳದ ಮರುನಿರ್ದೇಶನಗಳು ಮತ್ತು ಖಾಸಗಿ ವಿಂಡೋ ಎಸೆಯುವ ಕುಕಿಗಳು. ಟಿಕೆಟ್ ಮಾರ್ಗದ ಬದಲಿಗೆ ಅದನ್ನು ಪರಿಗಣಿಸುವುದು ಅಪ್ಲಿಕೇಶನ್ ಸ್ವತಃ ಆ ನೀಡುಗರನ್ನು ಸ್ವೀಕರಿಸುವಲ್ಲಿ ಮಾತ್ರ ಸುರಕ್ಷಿತ. VPN ಪೋರ್ಟಲ್ನಿಂದ ದೃಢೀಕರಣ ಪ್ರತಿಕ್ರಿಯೆಯನ್ನು ಸಂಬಂಧವಿಲ್ಲದ ಸೇವೆಗೆ ನಕಲಿಸುವುದು ಸಂಯೋಜನೆ ಅಲ್ಲ, ಸಣ್ಣ ದಾರಿ ಎಷ್ಟೇ ಅನುಕೂಲಕರವಾಗಿ ಕಂಡರೂ.

ಎರಡೂ ಕಾರ್ಯವಿಧಾನಗಳು ನಿಯೋಜಿತವಾದಾಗ, ಯಾವ ಅಪ್ಲಿಕೇಶನ್ಗಳು ಯಾವುದನ್ನು ಬಳಸುತ್ತವೆ ಎಂದು ದಾಖಲಿಸಿ, ಏಕೆಂದರೆ ಬೆಂಬಲ ಸಂಭಾಷಣೆ ಅದನ್ನು ಅವಲಂಬಿಸಿದೆ. ಸೈನ್-ಇನ್ ಆಗಿದ್ದೇನೆ ಆದರೆ ಫೈಲ್ ಹಂಚಿಕೆ ತೆರೆಯಲಾಗುತ್ತಿಲ್ಲ ಎಂದು ಹೇಳುವ ಬಳಕೆದಾರರು ಎರಡು ವ್ಯವಸ್ಥೆಗಳನ್ನು ವಿವರಿಸುತ್ತಿದ್ದಾರೆ, ಮತ್ತು ಉತ್ತರವೆಂದರೆ ಟಿಕೆಟ್ ಮಾರ್ಗ ಎಂದೂ ಚಲಿಸಲಿಲ್ಲ. ಹಂಚಿಕೆ ತೆರೆಯಬಹುದು ಆದರೆ ಇಂಟ್ರಾನೆಟ್ ಪೋರ್ಟಲ್ ಅಲ್ಲ ಎಂದು ಹೇಳುವ ಬಳಕೆದಾರರು ವಿರುದ್ಧವನ್ನು ವಿವರಿಸುತ್ತಿದ್ದಾರೆ, ಮತ್ತು ಟಿಕೆಟ್ನಲ್ಲಿ ಕಾರ್ಯವಿಧಾನವನ್ನು ಹೆಸರಿಸುವುದು ಒಂದು ಸುತ್ತಿನ ಪ್ರಶ್ನೆಗಳನ್ನು ಉಳಿಸುತ್ತದೆ.

ಕ್ರಮವನ್ನು ನಡೆಯಿರಿ, ಭಾಗಗಳನ್ನಲ್ಲ

ಸಾಮಾನ್ಯ ನೋಂದಾಯಿತ ಖಾತೆಯೊಂದಿಗೆ ಇಡೀ ಸರಪಳಿಯನ್ನು ನಡೆಯಿರಿ: ಸ್ಥಳೀಯ ಸೈನ್-ಇನ್, ಸುರಂಗ, ಟಿಕೆಟ್ ಸಂಪಾದನೆ, ನಂತರ ಸೇವೆಯ ವಿರುದ್ಧ ಒಂದು ನಿಜವಾದ ಕಾರ್ಯಾಚರಣೆ. ಸುರಂಗ ಮತ್ತೆ ಸಂಪರ್ಕಗೊಂಡ ನಂತರ ಮತ್ತು ಉದ್ದೇಶಪೂರ್ವಕ ಪಾಸ್ವರ್ಡ್ ಬದಲಾವಣೆಯ ನಂತರ ಅದನ್ನು ಪುನರಾವರ್ತಿಸಿ, ಏಕೆಂದರೆ ಆ ಪ್ರತಿಯೊಂದು ಸಂದರ್ಭವೂ ಜೀವಿತಾವಧಿ ತರ್ಕದ ಬೇರೆ ಭಾಗವನ್ನು ಅಭ್ಯಾಸ ಮಾಡುತ್ತದೆ. ಪ್ರತಿ ಹಂತವು ಸ್ವಂತವಾಗಿ ಉತ್ತೀರ್ಣವಾಗುವುದು ಸರಪಳಿ ಕೆಲಸ ಮಾಡುವುದಕ್ಕೆ ಸಮಾನವಲ್ಲ. ಸರಪಳಿಯೇ ಬಳಕೆದಾರರು ಅನುಭವಿಸುವುದು, ಮತ್ತು ಅದನ್ನೇ ಸ್ವೀಕಾರ ಪ್ರಕರಣ ಆವರಿಸಬೇಕು.

ಪ್ರೊಫೈಲ್ ಮಾಲೀಕ, VPN ದೃಢೀಕರಣ ವಿಧಾನ, ಡೊಮೇನ್ ಅನ್ವೇಷಣೆ ಮಾರ್ಗ ಮತ್ತು ವಿಸ್ತರಣೆಯ ಅಪ್ಲಿಕೇಶನ್ ಮ್ಯಾಪಿಂಗ್ ಅನ್ನು ಒಂದೇ ಸ್ಥಳದಲ್ಲಿ ದಾಖಲಿಸಿ. ಆ ದಾಖಲೆಯೇ ಹರಿವನ್ನು ಅದನ್ನು ನಿರ್ಮಿಸದ ವ್ಯಕ್ತಿಗೆ ಪುನರುತ್ಪಾದಿಸಬಹುದಾದಂತೆ ಮಾಡುತ್ತದೆ. ನಂತರ ನೀವು ಹೆಚ್ಚು ಎದುರಿಸುವ ವೈಫಲ್ಯವನ್ನು ಪರಿಶೀಲಿಸಿ, ಸುರಂಗ ಕೆಳಗಿರುವಾಗ ಅವಧಿ ಮೀರಿದ ಟಿಕೆಟ್, ಮತ್ತು ಕ್ಲೈಂಟ್ ಮರುಬೂಟ್ ಇಲ್ಲದೆ ಚೇತರಿಸಿಕೊಳ್ಳುತ್ತದೆ ಎಂದು ದೃಢೀಕರಿಸಿ, ಏಕೆಂದರೆ ಶೀತ ಆರಂಭದಿಂದ ಮಾತ್ರ ಕೆಲಸ ಮಾಡುವ ನಿಯೋಜನೆ ಪೂರ್ಣಗೊಂಡಿಲ್ಲ.

ಪ್ರತಿ ಹಂತದ ಮಾಲೀಕರನ್ನೂ ಗಮನಿಸಿ, ಏಕೆಂದರೆ ಯಾರೂ ನಿರ್ವಹಿಸದ Kerberos ಡೊಮೇನ್ ಹಳೆಯದಾಗುತ್ತದೆ. ಯಾರೂ ವಿವರಿಸಲಾಗದ ಸರಪಳಿ ಯಾರೂ ಡೀಬಗ್ ಮಾಡಲಾಗದ ಸರಪಳಿ.