VPN сертификаты LDAP бөлүгүн коргобойт

Каталогго каршы эсеп маалыматтарын текшерген VPN кирүүсү эки өзүнчө тармактык байланышты камтыйт. Колдонуучунун шлюз менен байланышы VPNдин өз сертификаты жана протокол конфигурациясы менен корголгон. Шлюздун каталог менен байланышы өз TLS параметрлери, өзүнүн ишеним кампасы жана өзүнүн иштебей калуу режимдери бар башка сессия. Биринчисиндеги эч нерсе экинчиси жөнүндө эч нерсени кепилдебейт.

Ушул асимметрия шифрленген болуп көрүнгөн, бирок bind сырсөзүн ачык жөнөткөн кирүүнүн механизми.

Эки байланыш, эки ишеним чечими

Сырткы сессия — колдонуучу көргөн нерсе: VPN хост атына байланган, кардар тарабынан ырасталган жана аутентификация алмашуусун ташыган сертификат. Ички сессия шлюздун ичиндеги каталог кардарына таандык, ал өз байланышын ачат жана TLS боюнча сүйлөшөт же сүйлөшпөйт. Ар бир тарап өзү сүйлөшкөн каршы тарапты башка конфигурация файлынан алынган материал менен текшерет. Туура эмес конфигурацияланган ички бөлүк колдонуучу тарабынан көрүнбөй калат, анткени сырткы бөлүк так пландалгандай иштейт.

Ошондуктан иштебей калуу чуулуу эмес, тынч. Каталогдун сертификатын эч качан текшербеген шлюз колдонуучуларды баары бир туура аутентификациялайт; ал аларды текшербеген канал аркылуу гана аутентификациялайт.

StartTLS жана LDAPS, атайын тандалган

StartTLS жөнөкөй LDAP катары ачылат жана ошол жерде жаңыртылат, адатта 389 портунда. LDAPS TLSти байланыш менен кошо баштайт, адатта 636да. Экөө тең мыйзамдуу жана адаптер каталог сунуш кылган нерсеге дал келиши керек. StartTLS талап кылуу аны сынап көрүп, жаңыртуу ишке ашпаганда улантуудан айырмаланат, жана дал ушул айырмада bind сырсөзү сыртка чыгышы мүмкүн. Катуу режимди конфигурациялаңыз жана сырсөздүү bind үчүн корголбогон камдык жолго жол бербеңиз.

ldapsearch -H ldap://dc1.corp.example -ZZ -x -D "CN=VPN Bind,OU=Service Accounts,DC=corp,DC=example" -W -b "DC=corp,DC=example" "(sAMAccountName=example-user)" dn

-ZZ параметри — бүткүл маселе: сурам жаңыртуусуз тынч уланбай, ишке ашпай калат. Ошол саптагы аттар жана эсептер мисалдар. OpenLDAPтин TLS документтери анын артындагы ишеним параметрлерин камтыйт.

LDAP кардары кайсы ишеним кампасын окуйт?

OpenLDAP кардар китепканасы өзүнүн ишеним конфигурациясын окуйт, ал системалык файлданбы же плагинге таандык параметрденби. VPNдин CA директивасы VPN өнөктөштөрүнө тиешелүү жана LDAP китепканасы ошол эле файлды окуйт деген далил эмес. Сертификат чындап камтыган каталог хост атын, кошумча китепкана ишенген чыгаруу тизмегин колдонуңуз. Active Directoryде көрсөтүлгөн аттан божомолдоонун ордуна туура сервер аутентификациясы колдонулушу менен каталог кызматынын сертификатын жайгаштырыңыз.

Ар бир камдык максат бирдей инсандык саясатын канааттандырууга тийиш. Негизгиси ырасталып, экинчиси ырасталбаган чөйрө камдык жолу жок чөйрөдөн жаман, анткени алсыз жол үзгүлтүк учурунда гана аныкталат.

Bind эсеби өзүнчө маселе бойдон калат

Транспортту коргоо bind эсеби эмне кыла аларын азайтпайт. Каталогдогу издөө аймагы, топтук авторизация жана кызмат эсебинин артыкчылыктары өзүнчө чечимдер, жана кең bind эсеби TLS күйгүзүлгөндөн кийин да кең бойдон калат. Интеграцияга керектүү эң тар кызмат эсебин жана издөө базасын колдонуңуз, жана акыркы чекитти, TLS режимин, ишеним ээсин жана жаңыртуу процессин VPN конфигурациясы менен бирге жазыңыз.

Сертификаттын дал келбестиги пайда болгондо, туура сертификатты же тизмекти жайгаштырыңыз. Текшерүүнү өчүрүү көрүнгөн дал келбестикти көрүнбөгөн нерсеге айландырат жана экинчи ишеним мамилесин текшерилбеген бойдон калтырат.

Эки байланыш, эки ээси, эки жаңыртуу күнү. Аларды документтерде өзүнчө кармоо кирүүнү ак ниеттүү кармайт.