Эки кирүү текшерүүсү эки фактор эмес: VPN жана RADIUS

VPN дарбазасына экинчи аутентификациялык backend кошуу экинчи фактор кошуудай сезилет. Адатта ал экинчи текшерүүнү кошот, ал башка ийгиликсиздик режимдери бар башка объект. Экөө тең ийгиликтүү болушу керекпи, ар бири эмнени далилдейт жана бири жеткиликсиз болгондо эмне болот, бул үч өзүнчө чечим. Жаңылсаңыз, дарбаза көрсөтүүдө катаалыраак, ал эми тыныгуу учурунда алсызыраак болот.

Экинчи backend чындыгында эмнени далилдейт

Жергиликтүү каттоо эсебинен издөө ат маалымат базасында бар экенин жана сырсөз ага туура келгенин далилдейт. RADIUS алмашуу RADIUS серверинин алган атрибуттар үчүн Access-Accept кайтарганын далилдейт. Эки билдирүүнүн эч бири фактор түрүн атабайт, анткени экөө тең билимди текшерет. Жана NISTтин санарип инсандык боюнча нускамасы фактордун ар башка түрлөрүн жана алардын аутентификаторлорун эсептейт, серверлерди же сунуштарды эмес.

Эки система тең катышкан мыйзамдуу дизайн бар. Борбордук кызмат адамды аутентификациялай алат, ал эми дарбаза бул каттоо эсебинин ушул туннелге укугу бар-жогун өз алдынча текшерет. Бул аутентификациянын жанындагы авторизация, жана аны эки фактор деп атоо саясат текшерүүсүн ээлик далили менен аралаштырат.

RADIUS чыныгы экинчи факторду алып жүрө алат, эгер ал бирөөнү текшерген нерсенин алдында турса, мисалы push уруксат же аппараттык токен. Конверт колдонуучу кайсы аутентификаторлорду көрсөткөнүн айтпайт, ошондуктан дарбазанын жапжазын эмес, backend саясатын окуңуз.

AND, OR жана камдык ар башка продуктылар

Ишке ашырууларды салыштырганга чейин, талабыңыздагы экөө тең эмнени билдирерин чечиңиз. AND саясаты ар бир аталган текшерүүнүн өтүшүн талап кылат, OR саясаты ийгиликтүү болгонун кабыл алат, ал эми камдык экинчисин гана жарыяланган ийгиликсиздик шарттарында сынайт. Бул үчөө тыныгуу учурунда тескери жүрүм-турум көрсөтөт, жана адатта алардын бири гана кароо көздөгөн нерсе.

Конфигурация экранына эки backend жазуусун кошуу продукт кайсы саясатты колдоноорун ачпайт. Айрым дарбазалар plugin-дерди удаама-удаа тизмектеп, биринчи баш тартууда токтойт, бул ар бир plugin милдеттүү болгондо гана AND. Башкалары жергиликтүү каттоо эсебин кайра жазуу катары карайт, бул борбордук тыныгууну айланып өтүүгө айландырат. Ишенимдүү жооп ар бир жол үчүн документтелген терс тест, ал сиз орнотуучу build-ге каршы жүргүзүлөт.

Камдык эң көп шекке татыктуу, анткени ал бир нерсе бузулганда ишти улантуу үчүн бар. RADIUS жеткиликсиз болгон сайын жергиликтүү сырсөздү кабыл алган камдык борбордук саясатты экинчи, алсызыраак эшикке айландырды.

OpenVPNдин кош текшерүүсү конкреттүү учур

Коомдук OpenVPN 2.6 экөө тең күйгүзүлгөндө клиент сертификатын да, конфигурацияланган auth-user-pass-verify скриптин да талап кылат. Бул сертификатты текшерүү менен каттоо маалыматтарынын скриптинин ортосундагы документтелген AND, жана бул чындап эки текшерүү. Бул дагы эле автоматтык түрдө эки фактор түрү эмес, анткени скрипт сырсөздү гана текшериши мүмкүн.

Айкалыш байланыш маселесин да ачык калтырат. Сертификат адатта түзмөктү аныктайт, ал эми маалыматтар адамды аныктайт, жана демейки агымда экөөнүн бир субъектиге тиешелүү болушун эч нерсе талап кылбайт. Кандай жуптарга жол берилерин чечиңиз, анан бул картаны текшерүү скриптинин ичинде же кийинки авторизация кадамында колдонуңуз.

Сертификат гана режими бир текшерүү, ал PIN менен корголушу мүмкүн же мүмкүн эмес ачкычка таянат. PIN ошол эле маалыматты билим кошуу ээликке гана ачкыч ансыз колдонулбаса айландырат. Ачкычты дискте шифрленбеген бойдон калтыруу экинчи бөлүктү файл укугуна чейин кыскартат.

Түзмөк өндүрүүчүлөр өз түтүктөрүн курушат, көбүнчө веб-консолдун артында PAM модулу же RADIUS plugin. Коомдун жүрүм-туруму кош текшерүүлөр кандай көрүнөөрүнө шилтеме, түзмөк аларды кантип айкалыштырарынын сүрөттөмөсү эмес.

Айкалышты өз дарбазаңызда текшериңиз

Консолдун жыйынтыгына ишенгенге чейин конфигурацияны окуңуз. Саясатты аныктаган саптар сертификат режими, маалыматтар скрипти жана plugin тартиби.

grep -E 'verify-client-cert|auth-user-pass-verify|plugin' /etc/openvpn/server.conf
openssl x509 -in /etc/openvpn/pki/issued/client01.crt -noout -subject -serial
radtest alice 'wrong-password' 127.0.0.1 0 testing123

grep сертификаттын керек экенин жана андан кийин кайсы скрипт иштээрин көрсөтөт, ал эми тартип аттардын ишарасынан маанилүүрөөк. Сертификаттын дампы дарбаза көрө турган инсандыкты берет, анын ичинде байланыш картасына керектүү CN жана сериялык номери. RADIUS тести терс учур: туура эмес сырсөз Access-Reject, ал эми туурасы Access-Accept бериши керек. Эгер баш тартылган маалымат дагы сессия берсе, скрипт аутентификация жолунда такыр жок.

Анан лабораториялык үлгүдө тыныгуу учурун иштетиңиз: милдеттүү backend-ти токтотуп, жарактуу маалыматтар менен туташыңыз. Күтүлгөн натыйжа баш тартуу, ал эми калган нерселердин баары эч ким документтеген камдык саясат.

Талапты терс учурлар катары жазыңыз

Колдонууга жарактуу талап далилдерди, аларды сунушка уруксат берилген каттоо эсептерин жана текшерүүчү жок болгондогу натыйжаны атайт. Ал ошондой эле түзмөк инсандыгы менен адам инсандыгынын ортосундагы уруксат берилген жупташтырууну белгилейт. Бул сатып алуу буйрутмасындагы продукт аттарынан такыраак, жана аны текшерүүгө болот.

Кабыл алуу төрт баш тартууну камтышы керек: жараксыз жергиликтүү каттоо эсеби, жок милдеттүү далил, жараксыз экинчи фактор жана жеткиликсиз милдеттүү backend. Ар бир баш тартууга аны башкалардан айырмалаган журнал сабы керек, болбосо кийинки окуя божомол менен башталат. Кайсы компонент кандай чечим кабыл алганын жазыңыз, анткени дарбаза, RADIUS сервери жана каталог бири-бирин күнөөлөйт.

Ар кандай plugin же firmware өзгөрүүсүнөн кийин төрт баш тартууну кайталаңыз. Алар арзан, жана алар коргогон саясат чабуулчу биринчи текшере турган бөлүк.