ಹಳೆಯ ಹ್ಯಾಶ್ಗಳನ್ನು ಮರುಬಳಕೆ ಮಾಡದೆ VPN ದೃಢೀಕರಣ ಬ್ಯಾಕೆಂಡ್ ಸ್ಥಳಾಂತರ
VPN ಗುರುತುಗಳನ್ನು ಸರಿಸುವುದು ಕಟ್ ಓವರ್, ನಕಲಲ್ಲ: ದೃಢೀಕರಣ ಸರಪಣಿಯನ್ನು ನಕ್ಷೆ ಮಾಡಿ, ಪೈಲಟ್ ಗುಂಪನ್ನು ಸರಿಸಿ, ರುಜುವಾತು ಬದಲಾವಣೆಗಳನ್ನು ಪರೀಕ್ಷಿಸಿ ಮತ್ತು ಮರುಹೊಂದಿಕೆ ರದ್ದು ಮಾಡಲಾಗದ ಚೇತರಿಕೆಯನ್ನು ಯೋಜಿಸಿ.
ಬಳಕೆದಾರರ ಹೆಸರುಗಳು ಹೊಸ ಕೋಶದಲ್ಲಿ ಕಾಣಿಸಿಕೊಳ್ಳುತ್ತವೆ, ಸ್ಥಳಾಂತರ ಪೂರ್ಣಗೊಂಡಿದೆ ಎಂದು ಘೋಷಿಸಲಾಗುತ್ತದೆ, ಮತ್ತು ಲಾಗಿನ್ಗಳು ಇನ್ನೂ ವಿಫಲವಾಗುತ್ತವೆ. ಗೇಟ್ವೇಗೆ ಇನ್ನೂ ಬೆಂಬಲಿತ ದೃಢೀಕರಣ ಮಾರ್ಗ ಮತ್ತು ಸರಿಯಾದ ಅಧಿಕಾರ ಫಲಿತಾಂಶ ಬೇಕು, ಮತ್ತು ಎರಡೂ ಈಗ ಖಾತೆಗಳನ್ನು ಹೊಂದಿರುವ ಕೋಶದಿಂದ ಬರುವುದಿಲ್ಲ. ಬ್ಯಾಕೆಂಡ್ ಸರಿಸುವುದು ಜೀವನ ಚಕ್ರವಿರುವ ಕಟ್ ಓವರ್, ನಕಲು ಕೆಲಸವಲ್ಲ. ಕೆಳಗಿನ ಲಕ್ಷಣವೇ ಸಾಮಾನ್ಯವಾಗಿ ವ್ಯತ್ಯಾಸವನ್ನು ಬಯಲು ಮಾಡುತ್ತದೆ.
ಲಕ್ಷಣ: ಖಾತೆಗಳಿವೆ, ಅವಧಿಗಳಿಲ್ಲ
ಹೊಸ ಕೋಶದಲ್ಲಿ ಪ್ರತಿ ಬಳಕೆದಾರರ ಹೆಸರೂ ಇದೆ, ಪರೀಕ್ಷಾ ಬೈಂಡ್ ಯಶಸ್ವಿಯಾಗುತ್ತದೆ, ಮತ್ತು VPN ಕ್ಲೈಂಟ್ ಇನ್ನೂ ದೃಢೀಕರಣ ವೈಫಲ್ಯವನ್ನು ಹಿಂತಿರುಗಿಸುತ್ತದೆ. ಈ ಸಂಯೋಜನೆ ಗುರುತು ಇದೆ ಎಂದು ತೋರಿಸುತ್ತದೆ, ಆದರೆ ಗೇಟ್ವೇ ಬಳಸುವ ಪರಿಶೀಲನಾ ಮಾರ್ಗ ಅದನ್ನು ತಲುಪುವುದಿಲ್ಲ, ಅಥವಾ ಅದನ್ನು ಪೂರೈಸಲಾಗದ ವಿಧಾನದಿಂದ ತಲುಪುತ್ತದೆ. ಎರಡೂ ಸಂರಚನೆ, ಮತ್ತು ಇವು ಬೇರೆ ಬೇರೆ ಸಮಸ್ಯೆಗಳು.
ಮೊದಲನೆಯದು ತಂತಿ ಜೋಡಣೆ: ಗೇಟ್ವೇ ಉತ್ತರಿಸದ ಬ್ಯಾಕೆಂಡ್ ಕಡೆ ತೋರಿಸುತ್ತದೆ, ಇನ್ನೊಂದು ಬದಿ ನಿರೀಕ್ಷಿಸದ ಹಂಚಿದ ರಹಸ್ಯವನ್ನು ಬಳಸುತ್ತದೆ, ಅಥವಾ ಹೊಸ ಸೇವೆ ಹಿಂತಿರುಗಿಸದ ಗುಣವನ್ನು ಕೇಳುತ್ತದೆ. ಎರಡನೆಯದು ಗೂಢಲಿಪಿ: ವಿಧಾನಕ್ಕೆ ಮೂಲ ರಹಸ್ಯ ಬೇಕು, ಮತ್ತು ಹೊಸ ಭಂಡಾರ ಅದರ ಹ್ಯಾಶ್ ಮಾತ್ರ ಇಟ್ಟುಕೊಳ್ಳುತ್ತದೆ. ದೋಷ ಪಠ್ಯ ಎರಡೂ ಸಂದರ್ಭಗಳಲ್ಲಿ ಒಂದೇ ರೀತಿ ಕಾಣುತ್ತದೆ, ಆದ್ದರಿಂದ ಎರಡನ್ನೂ ಒಂದೇ ಸಮಸ್ಯೆ ಎಂದು ಪರಿಗಣಿಸಲಾಗುತ್ತದೆ.
ಖಾತೆಗಳನ್ನು ಮುಟ್ಟುವ ಮೊದಲು ಇವೆರಡನ್ನು ಬೇರ್ಪಡಿಸುವುದು ಒಂದು ವಾರ ಉಳಿಸುತ್ತದೆ. ಒಂದು ಮಾರ್ಗನಿರ್ದೇಶನ ಮತ್ತು ನಂಬಿಕೆಯ ಪ್ರಶ್ನೆ, ಇನ್ನೊಂದು ರುಜುವಾತುಗಳ ಮರುಹೊಂದಿಕೆಯ ನಿರ್ಧಾರ, ಮತ್ತು ಎರಡನ್ನೂ ಬೆರೆಸುವುದು ಯಾರೂ ಆರೋಪಿಸಲಾಗದ ಬದಲಾವಣೆಗಳನ್ನು ಸೃಷ್ಟಿಸುತ್ತದೆ.
ಯಾರನ್ನೂ ಸರಿಸುವ ಮೊದಲು ಸರಪಣಿಯನ್ನು ನಕ್ಷೆ ಮಾಡಿ
ಪ್ರತಿ ಕ್ಲೈಂಟ್ ಪ್ರೊಫೈಲ್ಗೆ ಆರು ವಿಷಯಗಳನ್ನು ಬರೆಯಿರಿ: ಹೊರಗಿನ ದೃಢೀಕರಣ ವಿಧಾನ, ಯಾವುದೇ ಒಳಗಿನ ವಿಧಾನ, ಕ್ಲೈಂಟ್ ನಿರೀಕ್ಷಿಸುವ ಸರ್ವರ್ ಗುರುತು, ಗೇಟ್ವೇ ಮತ್ತು ಬ್ಯಾಕೆಂಡ್ ನಡುವಿನ ಇಂಟರ್ಫೇಸ್, ಗೇಟ್ವೇ ಗುಂಪು ಸದಸ್ಯತ್ವಕ್ಕೆ ನಕ್ಷೆ ಮಾಡುವ ಗುಣ, ಮತ್ತು ಅದರಿಂದ ಬರುವ ಸಂಪನ್ಮೂಲ ನೀತಿ. ಅವನ್ನು ಕ್ರಮದಲ್ಲಿ ಓದುವುದು ಯಾವ ಕೊಂಡಿಗೆ ಮಾಲೀಕರಿಲ್ಲ ಎಂದು ತೋರಿಸುತ್ತದೆ. ಪ್ರತಿ ಅಂಶಕ್ಕೂ ಒಬ್ಬ ಜವಾಬ್ದಾರರು ಇರುತ್ತಾರೆ, ಮತ್ತು ಯಾರೂ ಪರಿಶೀಲಿಸದ ಸ್ಥಳದಲ್ಲಿ ಕಟ್ ಓವರ್ ವಿಫಲವಾಗುತ್ತದೆ.
| Link | Question it answers |
|---|---|
| Client profile | Which method and server name does the client use? |
| Inner method | Is there a second authentication step? |
| Server identity | Which certificate or name must the client accept? |
| Gateway to backend | Which protocol, port and shared secret? |
| Attribute mapping | Which returned value becomes group membership? |
| Resource policy | What the resulting session may reach |
ಸಾಮಾನ್ಯ ಕೋಶ ಲಾಗಿನ್ ಆ ಸರಪಣಿಯಿಂದ ಬಹುತೇಕ ಏನನ್ನೂ ದಾಟುವುದಿಲ್ಲ. ಖಾತೆ ಇದೆ ಮತ್ತು ಗುಪ್ತಪದ ಕೆಲಸ ಮಾಡುತ್ತದೆ ಎಂದು ಸಾಬೀತು ಮಾಡುತ್ತದೆ, ಅಂದರೆ ಎಂದೂ ಸಂದೇಹಕ್ಕೊಳಗಾಗದ ಭಾಗ.
ಹ್ಯಾಶ್ಗಳು ವಿಧಾನಗಳ ನಡುವೆ ಪ್ರಯಾಣಿಸುವುದಿಲ್ಲ
ರುಜುವಾತುಗಳ ಹೊಂದಾಣಿಕೆಯನ್ನು ಒಮ್ಮೆ ಪರಿಶೀಲಿಸಬೇಕು, ಯಾವುದೇ ಗುಂಪು ಚಲಿಸುವ ಮೊದಲು. FreeRADIUS ವಿಭಜನೆಯನ್ನು ಸ್ಪಷ್ಟವಾಗಿ ದಾಖಲಿಸುತ್ತದೆ: ಸರ್ವರ್ ಸ್ವತಃ ಮಾಡುವ CHAP ಪರಿಶೀಲನೆಗೆ ನಿಜವಾದ ಗುಪ್ತಪದ ಬೇಕು, ಮತ್ತು MS-CHAP ಆ ಗುಪ್ತಪದ ಅಥವಾ ಸೂಕ್ತ NT ಸಾಮಗ್ರಿಯನ್ನು ಸ್ವೀಕರಿಸುತ್ತದೆ. ಬೇರೆ ಉದ್ದೇಶಕ್ಕಾಗಿ ತಯಾರಿಸಿದ ಹ್ಯಾಶ್ ಯಾವ ಸಂದರ್ಭಕ್ಕೂ ಹೊಂದುವುದಿಲ್ಲ, ಅದು ಎಷ್ಟೇ ಬಲವಾಗಿದ್ದರೂ.
ವ್ಯತ್ಯಾಸ ಸಾಕ್ಷ್ಯವನ್ನು ಯಾರು ಲೆಕ್ಕಿಸುತ್ತಾರೆ ಎಂಬುದರಲ್ಲಿ. ಕೋಶಕ್ಕೆ ಬಂಧಿಸಿ ಪರಿಶೀಲಿಸುವ ವಿಧಾನ ಕೋಶವು ಪರಿಶೀಲಿಸಬಲ್ಲದನ್ನು ಪರಿಶೀಲಿಸಲು ಬಿಡುತ್ತದೆ. ಸವಾಲು ಪ್ರತಿಕ್ರಿಯೆಯನ್ನು ಮರುಲೆಕ್ಕಿಸಿ ಪರಿಶೀಲಿಸುವ ವಿಧಾನಕ್ಕೆ ರಹಸ್ಯವೇ ಬೇಕು, ಏಕೆಂದರೆ ಸರ್ವರ್ ಕೂಡ ಅದೇ ಲೆಕ್ಕ ಮಾಡಬೇಕು.
ಸಾಮಗ್ರಿ ಇಲ್ಲದಲ್ಲಿ, ಪ್ರಾಮಾಣಿಕ ಆಯ್ಕೆಗಳು ಬೆಂಬಲಿತ ಮರುಹೊಂದಿಕೆ, ಮರು ನೋಂದಣಿ, ಬಾಹ್ಯ ಪರಿಶೀಲನಾ ಸೇವೆ ಅಥವಾ ವಿಧಾನ ಬದಲಾವಣೆ. ಮರುಪಡೆಯಬಹುದಾದ ಗುಪ್ತಪದಗಳ ತಾತ್ಕಾಲಿಕ ರಫ್ತು ಆ ಪಟ್ಟಿಯಲ್ಲಿಲ್ಲ. ಇದು ಯೋಜನೆಯ ಅತ್ಯಂತ ಗೊಂದಲಮಯ ವಾರದಲ್ಲಿ ಸರಳ ಪಠ್ಯ ರುಜುವಾತು ಭಂಡಾರವನ್ನು ಸೃಷ್ಟಿಸುತ್ತದೆ, ಮತ್ತು ಸಾಮಾನ್ಯವಾಗಿ ಸ್ಥಳಾಂತರದ ನಂತರವೂ ಉಳಿಯುತ್ತದೆ.
ಪೈಲಟ್ ಗುಂಪು, ನಂತರ ಜೀವನ ಚಕ್ರ ಬದಲಾವಣೆಗಳು
ಅನುಮೋದಿತ ಗುರುತುಗಳ ಸಣ್ಣ ಗುಂಪನ್ನು ನಿಜವಾದ ಕ್ಲೈಂಟ್ನೊಂದಿಗೆ ಸರಿಸಿ, ಮತ್ತು ನಾಲ್ಕು ವಿಷಯಗಳನ್ನು ಪರೀಕ್ಷಿಸಿ: ಹೊಸ ಲಾಗಿನ್, ಉದ್ದೇಶಪೂರ್ವಕವಾಗಿ ತಪ್ಪು ರುಜುವಾತು, ಅವಧಿ ತಲುಪಬಹುದಾದ ಸಂಪನ್ಮೂಲಗಳು, ಮತ್ತು ತಲುಪಬಾರದ ಸಂಪನ್ಮೂಲಗಳು. ಕ್ಲೈಂಟ್ ಸ್ವೀಕರಿಸಿದ ಸರ್ವರ್ ಗುರುತನ್ನೂ ಪರಿಶೀಲಿಸಿ, ಏಕೆಂದರೆ ಪ್ರಮಾಣಪತ್ರದ ಹೆಸರಿನ ಹೊಂದಾಣಿಕೆಯ ಕೊರತೆ ಯಾರಾದರೂ ಕ್ಲೈಂಟ್ ಲಾಗ್ ಓದುವವರೆಗೆ ಕಾಣುವುದಿಲ್ಲ.
ನಂತರ ನಿಯೋಜನೆ ನಿಜವಾಗಿ ಅವಲಂಬಿಸಿರುವ ಬದಲಾವಣೆಗಳನ್ನು ಅಭ್ಯಾಸ ಮಾಡಿ. ಗುಪ್ತಪದ ಬದಲಿಸಿ, ಪ್ರಮಾಣಪತ್ರವನ್ನು ನವೀಕರಿಸಿ ಅಥವಾ ಮತ್ತೆ ನೋಂದಿಸಿ, ಮತ್ತು ಒಂದು ಪೈಲಟ್ ಖಾತೆಯಿಂದ ಪ್ರವೇಶ ತೆಗೆಯಿರಿ. ಪ್ರತಿಯ ನಂತರ ಯಾವ ಪರಿಶೀಲಕ ಪ್ರಯತ್ನವನ್ನು ನಿರ್ವಹಿಸಿದರು ಎಂದು ದೃಢೀಕರಿಸಿ, ಏಕೆಂದರೆ ಕಟ್ ಓವರ್ಗಿಂತ ಮೊದಲು ರಚಿಸಿದ ಅವಧಿ ಕೆಲಸ ಮುಂದುವರಿಸಬಹುದು ಮತ್ತು ಮುಂದಿನ ಲಾಗಿನ್ ಬಗ್ಗೆ ಏನನ್ನೂ ಸಾಬೀತು ಮಾಡುವುದಿಲ್ಲ.
ಪ್ರೊಫೈಲ್ ವಿತರಣೆಯನ್ನು ಗುರುತು ಬದಲಾವಣೆಯಿಂದ ಬೇರ್ಪಡಿಸಿ. ಪ್ರತಿ ಗುಂಪಿಗೂ ಅದರ ಉದ್ದೇಶಿತ ಪ್ರೊಫೈಲ್, ಅದರ ರುಜುವಾತು ಅಥವಾ ನೋಂದಣಿ ಸ್ಥಿತಿ, ಬಳಸಬೇಕಾದ ದೃಢೀಕರಣ ಸೇವೆ ಮತ್ತು ಬೆಂಬಲ ಸಂಪರ್ಕ ಬೇಕು, ಮತ್ತು ಈ ದಾಖಲೆಗಳಲ್ಲಿ ಯಾವುದೂ ರಹಸ್ಯವನ್ನು ಹೊಂದಿರಬಾರದು.
ಹಳೆಯ ಮತ್ತು ಹೊಸ ಮಾರ್ಗಗಳು ಜೊತೆಯಾಗಿದ್ದರೆ, ಅವನ್ನು ಅಂತ್ಯ ದಿನಾಂಕದಿಂದ ಮಿತಿಗೊಳಿಸಿ. ಸ್ವಯಂಚಾಲಿತ ಹಿನ್ನಡೆ ಹೊಸ ಮಾಲೀಕರು ಪ್ರವೇಶ ತೆಗೆದ ನಂತರ ಖಾತೆಯನ್ನು ಹಳೆಯ ರುಜುವಾತಿನಿಂದ ಒಳಗೆ ಬಿಡಬಹುದು, ಮತ್ತು ಅದು ಲಭ್ಯತೆಯ ಮುಖವಾಡದಲ್ಲಿ ಭದ್ರತಾ ಹಿನ್ನಡೆ.
ಹಿನ್ನಡೆ ರುಜುವಾತನ್ನು ಮರುಸ್ಥಾಪಿಸಲಾಗದು
ಕಟ್ ಓವರ್ ತಿರುಗಿಸುವುದು ಕೋಶವನ್ನು ಈಗ ಇರುವಂತೆಯೇ ಬಿಡುತ್ತದೆ. ಮರುಹೊಂದಿಸಿದ ಗುಪ್ತಪದ ಮರುಹೊಂದಿಸಿದಂತೆಯೇ ಉಳಿಯುತ್ತದೆ, ರದ್ದಾದ ಪ್ರಮಾಣಪತ್ರ ರದ್ದಾದಂತೆಯೇ ಉಳಿಯುತ್ತದೆ, ಮತ್ತು ಬದಲಾದ ರುಜುವಾತು ಸ್ವರೂಪ ಬದಲಾದಂತೆಯೇ ಉಳಿಯುತ್ತದೆ. ಇವು ಕೋಶದಲ್ಲಿನ ಘಟನೆಗಳು, ಮತ್ತು ಗೇಟ್ವೇ ಎಂದೂ ಅವುಗಳ ಮೂಲವಾಗಿರಲಿಲ್ಲ. ಚೇತರಿಕೆಯನ್ನು ಪ್ರತಿ ಘಟನೆಗೂ ವ್ಯಾಖ್ಯಾನಿಸಬೇಕು, ಮತ್ತು ಇದರಲ್ಲಿ ಯಾವುದೂ ಹೊಂದದ ಹ್ಯಾಶ್ನಿಂದ ರಹಸ್ಯವನ್ನು ಪುನರ್ನಿರ್ಮಿಸುವುದನ್ನು ಅವಲಂಬಿಸಬಾರದು.
ಸ್ಥಳಾಂತರಗೊಳ್ಳುತ್ತಿರುವ ಸಂಪರ್ಕವನ್ನು ಬಳಸದ ಆಡಳಿತ ಮಾರ್ಗವನ್ನು ಇಟ್ಟುಕೊಳ್ಳಿ. ಹೊಸ ದೃಢೀಕರಣ ವಿಫಲವಾದಾಗ ಗುಂಪನ್ನು ನಿಲ್ಲಿಸಿ ಮತ್ತು ಗಡುವು ಪಾಲಿಸಲು ಎಲ್ಲರಿಗೂ ದೃಢೀಕರಣವನ್ನು ದುರ್ಬಲಗೊಳಿಸುವ ಬದಲು ಅದರ ದಾಖಲಿತ ಚೇತರಿಕೆ ಮಾರ್ಗವನ್ನು ಬಳಸಿ.
ಗುಂಪುಗಳು ಆವರಿಸಿದ ನಂತರ ಹಳೆಯ ಬ್ಯಾಕೆಂಡ್ ರುಜುವಾತುಗಳು, ಪ್ರೊಫೈಲ್ಗಳು ಮತ್ತು ನಂಬಿಕೆ ಸಂಬಂಧಗಳನ್ನು ಅವುಗಳ ಮಾಲೀಕರ ಮೂಲಕ ಹಿಂಪಡೆಯಿರಿ. ಹಳೆಯ ಮಾರ್ಗ ಇನ್ನು ಬಳಕೆದಾರರನ್ನು ಒಳಗೆ ಬಿಡುವುದಿಲ್ಲ ಎಂದು ದೃಢೀಕರಿಸಿ, ಮತ್ತು ಬೆಂಬಲಕ್ಕೆ ಇನ್ನೂ ಬೇಕಾದ ರಹಸ್ಯರಹಿತ ಗುರುತು-ರಿಂದ-ನೀತಿ ನಕ್ಷೆಯನ್ನು ಇಟ್ಟುಕೊಳ್ಳಿ. ಸ್ಥಳಾಂತರ ಹೊಸ ಜೀವನ ಚಕ್ರ ಕೆಲಸ ಮಾಡಿ ಯಾರೂ ಹಳೆಯ ಮಾರ್ಗದಿಂದ ಒಳಗೆ ಬರಲಾಗದಿದ್ದಾಗ ಪೂರ್ಣಗೊಳ್ಳುತ್ತದೆ, ಖಾತೆಗಳ ಪಟ್ಟಿ ಪೂರ್ಣವಾಗಿ ಕಂಡಾಗ ಅಲ್ಲ.