VPN аутентификациясынын backend'ин эски хештерди кайра колдонбой көчүрүү

Колдонуучу аттары жаңы каталогдо пайда болот, көчүрүү аяктады деп жарыяланат, бирок кирүүлөр дагы эле ишке ашпайт. Шлюзгө дагы эле колдоого алынган аутентификация жолу жана туура авторизация жыйынтыгы керек, жана экөө тең эми каттоо эсептерин камтыган каталогдон келип чыкпайт. Backend'ди көчүрүү — жашоо цикли бар өткөрүү, көчүрүү иши эмес. Төмөнкү симптом — айырманы адатта ачып берүүчү симптом.

Симптом: каттоо эсептери бар, сессиялар жок

Жаңы каталог ар бир колдонуучу атын камтыйт, сыноо байланышуусу ийгиликтүү өтөт, ал эми VPN кардары дагы эле аутентификация катасын кайтарат. Мындай айкалыш идентификатордун бар экенин, бирок шлюз колдонгон текшерүү жолу ага жетпей турганын же аны канааттандыра албаган ыкма менен жетээрин билдирет. Экөө тең конфигурация, жана бул ар кандай маселелер.

Биринчиси — зымдар: шлюз жооп бербеген backend'ди көрсөтөт, каршы тарап күтпөгөн жалпы сырды колдонот же жаңы кызмат кайтарбаган атрибутту сурайт. Экинчиси — криптографиялык: ыкма баштапкы сырды талап кылат, жаңы кампа анын хешин гана сактайт. Ката тексти эки учурда тең окшош, ошондуктан экөө бир маселе катары каралат.

Бул экөөнү каттоо эсептерине тийишпестен мурун ажыратуу бир жуманы үнөмдөйт. Бири — маршруттоо жана ишеним маселеси, экинчиси — каттоо маалыматтарын кайра коюу тууралуу чечим, ал эми аларды аралаштыруу эч ким түшүндүрө албаган өзгөрүүлөрдү жаратат.

Бирөөнү көчүрүүдөн мурун чынжырды картага түшүрүңүз

Ар бир кардар профили үчүн алты нерсени жазыңыз: тышкы аутентификация ыкмасы, мүмкүн болгон ички ыкма, кардар күткөн сервер идентификатору, шлюз менен backend'дин ортосундагы интерфейс, шлюз топ мүчөлүгүнө картага түшүргөн атрибут жана андан келип чыккан ресурс саясаты. Аларды ирети менен окуу кай муундун ээси жок экенин көрсөтөт. Ар бир пункттун ээси бар, ал эми өткөрүү эч ким текшербеген жерде ишке ашпайт.

Жөнөкөй каталогго кирүү ошол чынжырдын дээрлик эч нерсесин өтпөйт. Ал каттоо эсебинин бар экенин жана сырсөздүн иштешин далилдейт, башкача айтканда эч качан күмөн туудурбаган бөлүгүн.

Хештер ыкмалардын ортосунда жүрбөйт

Каттоо маалыматтарынын шайкештигин каалаган топ көчүрүлүүдөн мурун бир жолу текшерүү керек. FreeRADIUS бөлүштүрүүнү так сүрөттөйт: сервер өзү аткарган CHAP текшерүүсү чыныгы сырсөздү талап кылат, ал эми MS-CHAP ошол сырсөздү же ылайыктуу NT материалын кабыл алат. Башка максат үчүн жасалган хеш эки учурдун бирине да туура келбейт, канчалык күчтүү болбосун.

Айырма — далилди ким эсептей турганында. Каталогго байлоо аркылуу текшерген ыкма каталогго өзү текшере ала турган нерсени текшерүүгө мүмкүндүк берет. Чакырыкка жоопту кайра эсептөө аркылуу текшерген ыкма сырдын өзүн талап кылат, анткени сервер ошол эле эсептөөнү аткарышы керек.

Материал жок жерде ак ниеттүү варианттар — колдоого алынган кайра коюу, кайра каттоо, тышкы текшерүү кызматы же ыкманы өзгөртүү. Калыбына келтирүүгө боло турган сырсөздөрдү убактылуу экспорттоо бул тизмеде жок. Ал долбоордун эң башаламан жумасында ачык тексттеги каттоо маалыматтарынын кампасын түзөт жана адатта көчүрүүдөн кийин да калат.

Пилоттук топ, андан кийин жашоо циклинин өзгөрүүлөрү

Бекитилген идентификаторлордун чакан тобун чыныгы кардар менен көчүрүңүз жана төрт нерсени сынаңыз: жаңы кирүү, атайын туура эмес каттоо маалыматтары, сессия жете алган ресурстар жана жете албаган ресурстар. Кардар кабыл алган сервер идентификаторун да текшериңиз, анткени сертификат атынын дал келбестиги бирөө кардар журналын окумайынча көрүнбөйт.

Андан кийин жайылтуу чындап көз каранды болгон өзгөрүүлөрдү сынап көрүңүз. Сырсөздү алмаштырыңыз, сертификатты жаңыртыңыз же кайра каттаңыз жана бир пилоттук каттоо эсебинин кирүү мүмкүнчүлүгүн алып салыңыз. Ар биринен кийин аракетти кайсы текшерүүчү иштеп чыкканын ырастаңыз, анткени өткөрүүгө чейин түзүлгөн сессия ишин уланта алат жана кийинки кирүү тууралуу эч нерсе далилдебейт.

Профиль жеткирүүнү идентификатор алмашуудан бөлүңүз. Ар бир топко өзүнүн пландалган профили, каттоо маалыматтарынын же каттоонун абалы, колдонушу керек болгон аутентификация кызматы жана колдоо байланышы керек, ал эми бул жазуулардын биринде да сыр болбошу керек.

Эски жана жаңы жолдор катар жашаса, аларды бүтүү датасы менен чектеңиз. Автоматтык кайтуу жаңы ээси кирүү мүмкүнчүлүгүн алып салгандан кийин каттоо эсебин эски каттоо маалыматтары аркылуу өткөрүшү мүмкүн, жана бул жеткиликтүүлүк катары көрсөтүлгөн коопсуздук регрессиясы.

Кайтаруу каттоо маалыматтарын калыбына келтире албайт

Өткөрүүнү артка кайтаруу каталогду дал азыркы абалында калтырат. Кайра коюлган сырсөз кайра коюлган бойдон калат, кайтарылып алынган сертификат кайтарылып алынган бойдон калат, ал эми каттоо маалыматтарынын өзгөргөн форматы өзгөргөн бойдон калат. Булар каталогдогу окуялар, ал эми шлюз эч качан алардын булагы болгон эмес. Калыбына келтирүү ар бир окуя боюнча аныкталышы керек жана анын эч бири шайкеш келбеген хештен сырды кайра курууга көз каранды болбошу керек.

Көчүрүлүп жаткан байланышты колдонбогон административдик жолду сактаңыз. Жаңы аутентификация ишке ашпаганда, топту токтотуп, анын документтелген калыбына келтирүү жолун колдонуңуз, мөөнөттү кармоо үчүн баарына аутентификацияны алсыратпай.

Топтор камтылгандан кийин эски backend каттоо маалыматтарын, профилдерди жана ишеним мамилелерин ээлери аркылуу чыгарыңыз. Эски жол эми колдонуучуларды өткөрбөй турганын ырастаңыз жана колдоого дагы эле керек болгон сырсыз идентификатор-саясат шайкештигин сактаңыз. Көчүрүү жаңы жашоо цикли иштеп, эч ким эски жол менен кире албаганда бүтөт, каттоо эсептеринин тизмеси толук көрүнгөндө эмес.