Кызматтык эсептин VPN кирүүсү: сертификат же жалпы кирүү
Көзөмөлсүз VPN кирүү үчүн машина сертификатын сакталган сырсөз менен салыштырыңыз жана чыныгы уруксат чегин кирүүдөн кийин иштеген саясатка коюңуз.
Эки долбоор көзөмөлсүз VPN жөндөөлөрүнүн дээрлик баарын камтыйт: скриптте сакталган жалпы адамдык кирүү же хостко байланган машина сертификаты. Алар ар кайсы жерде иштебей калат, бул жөндөө ылдамдыгынан маанилүү. Сакталган сырсөз ээси аны өзгөрткөндө же кеткенде бузулат; сертификат мөөнөтү бүткөндө же хост ачкычсыз кайра курулганда бузулат. Кандай чыгымды көтөрө аларыңызды үч шарт чечет, жана авторизация саясаты муну кылмайынча эч бир долбоор эч нерсени чектебейт.
Эсептен эмес, тапшырмадан баштаңыз
Тапшырма чекти аныктайт: кайсы багыттар, кайсы кызматтар, кайсы сааттар, сессия канча убакыт жүрө алат. Туннель маршруту ошол чектин жарымы гана. Шлюз сессияга уруксат берилгенин чечет; анын артындагы ресурс сессия эмне кыла аларын чечет. Адегенде тизмени жазыңыз, аталган ээси менен, анткени эки идентификация долбоору тең ага жооп бериши керек.
Аны жазуу учурунда аутентификация менен авторизацияны өзүнчө кармаңыз. Аутентификация ким туташканын жооп берет; авторизация сессия андан кийин эмнеге жете аларын жооп берет. RADIUS экинчи бөлүгүн Filter-Id, Framed-IP-Address, Session-Timeout жана Class сыяктуу атрибуттар катары алып жүрөт, жана кирүү ийгиликтүү болгондон кийин шлюз аларды кошот. Кирүүнү алмаштырып, авторизацияны тийбеген бойдон калтырган долбоор эч нерсени чектеген жок.
Жалпы адамдык кирүү: сырсөз чекке айланат
Адамдык эсепти кайра колдонуу эң тез жол жана эң жаман картайган жол. Күбөлүк сырсөз, ошондуктан ал скриптке, чөйрө файлына жана пландаштыргыч конфигурациясына түшөт, жана ар бир көчүрмө айландырууну талап кылат. Ээси аны жума күнү өзгөртсө, тапшырма кийинки жүргүзүүдө иштебей калат жана эч ким карабайт.
MFA — бул долбоор адатта кулаган жер. Скрипт push суроосуна жооп бере албайт, ошондуктан эсеп саясаттан чыгарылат, жана бул чабуулчу тандай турган эсептин дал өзү. Өзгөчөлүктөр, ишенимдүү жерди айланып өтүүлөр жана эсеп боюнча бошотуулар көбөйөт, жана алардын эч бири жалдоочунун жөндөөлөрүн окуган кийинки адамга көрүнбөйт.
Тиешелүүлүк — экинчи чыгым. Шлюз журналындагы ар бир сессия бирдей колдонуучу атын алып жүрөт, ошондуктан түнкү синхрондоону аны жазган адамдын ишинан ажыратуу мүмкүн эмес, жана тапшырманы кайтарып алуу ошол адамды кайтарып алууну билдирет.
Машина сертификаты: хостко байланган идентификатор
Сертификат суроону эсеп эмнени билеринен хост эмне экенине алмаштырат. EAP-TLS менен кардар сертификат көрсөтүп, тиешелүү жеке ачкычтын ээлигин далилдейт; саясат сервери субъектини же компьютердик эсепти топко салыштырып, ошол топ үчүн саясатты колдонот. Суроо жок, тексттик файлда отурган жалпы сыр жок.
Ал түзгөн чек адамдар күткөндөн тар. Сертификат хостту аутентификациялайт, тапшырманы эмес, жана root же жергиликтүү администратор укугу бар ар ким ошол хосттогу ошол ачкычты колдоно алат. Ачкычты платформа коргогон жерде кармаңыз: Windows сертификат кампасында экспорттолбой турган, профиль уруксат берген жерде TPM таянычы менен, же Linux'то rootко таандык 0600 файл. Хосттун бузулушу — күбөлүктүн бузулушу.
Мөөнөттүн бүтүшү — кайталануучу бузулуу. Жекшембиде мөөнөтү бүткөн сертификат тапшырманы жекшембиде токтотот, жана шлюз адатта күндү атабастан жалпы аутентификация катасын билдирет. Күндөрдү тапшырманын хостунен runbook бөлүгү катары текшериңиз:
openssl x509 -in client.pem -noout -subject -issuer -dates
ipsec listcertsКайтарып алуу шлюз текшере турган жолду талап кылат. OpenVPN CRLди crl-verify опциясы аркылуу окуйт, ал эми strongSwan туташуу профилинин курулушуна жараша CRL же OCSPге көз каранды. Экөө тең туташтырылбаса, хостту алып салуу сертификаттын мөөнөтү бүтүшүн күтүүнү билдирет.
Алардын ортосунда чечүүчү үч шарт
Салыштырууну өз платформаңыз менен жасаңыз, маалымдама долбоор менен эмес.
Биринчи шарт: шлюз машина идентификаторун авторизациялай алабы? Эгер ал RADIUS колдонуучу атын каталог колдонуучусуна гана салыштырса, сертификат хостту аутентификациялап, анан авторизацияда токтоп калат. Экинчи шарт: тапшырмага колдонуучу эсеби гана алып жүргөн ресурска кирүү керекпи, мисалы туташтырылган бөлүшүү же орун үчүн лицензия? Анда машина идентификатору алмаштыра албайт, жана чыныгы жооп — чектелген саясаты бар атайын колдонуучу эсеби. Үчүнчү шарт: циклде адамсыз күбөлүктү ким айландыра алат? Автоматтык каттоо сертификаттарды кармоону арзан кылат; бир адам билген сырсөз — жок.
| Constraint | Machine certificate | Dedicated user account with stored secret |
|---|---|---|
| Unattended login | Private key proof, no prompt | Only if the account is exempted from MFA |
| Resource expects a user identity | Works only when the resource accepts computer accounts | Matches the access a person would have |
| Rotation | Re-enrollment, often automated | Secret change plus redeploy of every copy |
| Revocation speed | Tied to CRL or OCSP refresh | Disable the account, immediate |
Таблицаны даражалоо эмес, чыгымдардын тизмеси катары окуңуз. Сакталган сырдын тилкеси кайтарып алуу ылдамдыгында жана колдонуучу эсептерин гана түшүнгөн ресурстар менен шайкештикте жеңет; сертификат тилкеси айландырууда жана скрипт иштеши үчүн MFAны начарлатпоодо жеңет.
Чекти саясатка коюңуз, аутентификациядан кийин
Кандай идентификатор тандасаңыз да, уруксат чеги аутентификациядан кийин иштеген саясатка таандык. NPSте тармактык саясаттар тартип менен бааланат жана ар бир шартка туура келген биринчи саясат өз жөндөөлөрүн колдонот, ошондуктан тар саясаттын үстүндө турган кең саясат кардар эмне сунуштаса да жыйынтыкты чечет. Microsoft шарт жана жөндөө модели боюнча өзүнүн NPS саясаттарына серебинде.
Тапшырмага өз тобун же саясат шартын бериңиз, машина идентификатору алып жүргөн нерсеге негиздеп: сертификат үлгүсү, чакыруучу станциянын идентификатору же атайын пулдан дарек. Андан кийин сессияны атрибуттар менен чектеңиз: шлюзүңүз салыштырган роль үчүн Filter-Id, тыгылган тапшырма күндөр бою сессия кармабастан кайра аутентификацияланышы үчүн кыска Session-Timeout жана экинчи тарапта firewall колдонгон пулдан Framed-IP-Address. Колдонмо авторизациясы өзүнчө калат: маалымат базасынын серверине туннель анын ичиндеги таблицаны окууга уруксат эмес.
Баш тартууларды текшериңиз, анан алып салууну пландаштырыңыз
Иштеген кирүү эң аз артыкчылык жөнүндө эч нерсени далилдебейт. Анын ордуна баш тартууларды сынап көрүңүз: тапшырманын идентификатору менен туташып, тизмеден тышкаркы багытка жетүүгө аракет кылыңыз, шлюз бирөөгө гана уруксат бериши керек болсо, экинчи параллелдүү сессия ачыңыз, жана күбөлүктү кайтарып алгандан кийин кирүүнү кайталаңыз.
Анан ошол эле сессияны эки жерде ырастаңыз. Шлюз журналы аутентификацияланган идентификаторду көрсөтөт; саясат серверинин журналы кайсы саясат дал келгенин жана кандай атрибуттарды кайтарганын көрсөтөт. OpenVPNде сервер сертификаттын жалпы атын жазат, ал эми strongSwan'дагы ipsec statusall колдонулуп жаткан идентификатор менен орнотулган туннелди басып чыгарат. Эки журнал идентификатор боюнча макулдашпаса, саясат сиз болжолдогондон башка нерсеге дал келет.
Алып салуу долбоорго таандык, тазалоо спринтине эмес. Жок кылынышы керек болгондун баарын жазыңыз (сертификат же эсеп, топ мүчөлүгү, тармактык саясат, пул жазуусу, максаттагы firewall эрежеси) жана тапшырманы кайра куруу оңой кезде аны бир жолу аткарыңыз.
Бүгүн баштасаңыз, ушундай тартипте иштеңиз: ресурстар тизмесин жазыңыз, идентификаторду үч шарт менен тандаңыз, чекти саясатка коюңуз жана тапшырма ишке кирээр алдында бир баш тартууну машыктырыңыз.