VPN колдонуучусун каттоо: адегенде идентификация ээсин табыңыз

Бирөө VPN'ге кирүүнү сурайт, ал эми биринчи сезим — серверде adduser иштетүү. Бул сезим орнотуулардын кууш тобунда гана туура. Бир нерсе жаратаардан мурун сервердин конфигурациясын ачып, ал жерде кайсы продукт иштеп жатканын жана эсептик маалыматтарды кайдан текшерерин аныктаңыз, анткени эсеп продукттун маалымат базасында, идентификация провайдеринде же хосттун өзүнүн аутентификация стекунда болушу мүмкүн. Туура эмес түрдөгү эсеп түзүү адамды иштеген кирүү менен жана тоннелсиз калтырат.

Клиент профилинде OpenVPN деп жазылса, ал протоколду сүрөттөйт, анын артындагы идентификация системасын эмес.

adduser'ден эмес, серверден баштаңыз

Адегенде продуктту аныктаңыз. Community OpenVPN — бул демон жана ага туташтырган ар кандай аутентификация, ал эми Access Server — өзүнүн колдонуучу катмары бар продукт. Конфигурацияны, unit атын жана пакеттердин тизмесин сурап, колдонуучуларды башкаруу үчүн веб-интерфейс бар-жогун текшериңиз. Андан кийин орнотулган профиль клиенттерден өздөрүнүн ким экенин кантип далилдөөнү күтөрүн караңыз: сертификат, колдонуучу аты жана сырсөз, же экөө тең. Ошол жооп эсепке ээ болгон системаны атайт.

Ошондон кийин гана колдонуучу түзүү деген сөз мааниге ээ болот. Тек сертификаттар менен орнотууда бул бекитилген процесс аркылуу түзмөктүн идентификациясын берүүнү билдирет, ал эми Unix кирүүсү эч нерсени өзгөртпөйт. Сырсөз менен орнотууда бул сырсөздү чындап текшерген backendди билдирет.

Төрт backend, эсеп түзүүнүн төрт жери

Access Server'дин жергиликтүү аутентификациясы эсептерди өз маалымат базасында сактайт, ошондуктан аларды түзүү интерфейси хостко эмес, продуктка таандык. PAM текшерүүнү операциондук системанын стегине өткөрүп берет, ошондуктан кызмат ушул стекти тандаса, жергиликтүү Unix эсеби каттоонун бөлүгү боло алат. LDAP, RADIUS жана SAML текшерүүнү тышкы кызматка өткөрөт, ал жерде даярдоо, сырсөз саясаты жана MFA жайгашат. Access Server төрт учурдун бардыгында колдонуучуга тиешелүү сертификаттарды жана укуктарды сактай алат, жана бөлүүнү татаалдаштырган нерсе да ушул.

Глобалдык демейкини эмес, ушул конкреттүү колдонуучу үчүн аракеттеги ыкманы текшериңиз. Access Server 2.10 жана андан кийинки версиялар топ же колдонуучу боюнча ар башка аутентификация ыкмаларын колдоно алат, ошондуктан жергиликтүү демейки маани алдыңыздагы эсептин жергиликтүү текшерилерин далилдебейт.

Укук — өзүнчө чечим

Аутентификация адамдын ким экенине жооп берет; укук анын эмнеге жете аларына жооп берет. Аларды эки кадам катары кармаңыз, анткени ийгиликтүү кирүү берүү эмес. Көздөлгөн маршруттарды, ресурс укуктарын жана административдик укуктарды атайын дайындап, байланышы жок кирүү четке кагылган бойдон каларын ырастаңыз. Орнотуу жеке идентификацияларды колдогон жерде башка бирөөнүн профилин жөнөтүүнүн ордуна ар бир адамга бирден бериңиз, анткени жалпы профилди бир адам үчүн кайтарып алуу мүмкүн эмес.

Клиент материалы да маанилүү. Автоматтык кирүү профили жана интерактивдүү колдонуучу кирүүсү ар башка аутентификация мамилелерин билдирет, ал эми бирин экинчиси менен алмаштыруу сервер чындыгында эмнени текшерерин өзгөртөт.

Кирүүнү кайтарып алуу каттоонун бөлүгү

Колдонуучу түзүлүп жатканда үч ээсин жазып коюңуз: эсепти ким текшерет, VPN кирүүсүнө ким уруксат берет жана байланышты кайсы түзмөк же профиль билдирет. Булар үч башка система болушу мүмкүн, ал эми алардын бирин гана атаган кайтарып алуу планы жолду ачык калтырат. Адам кеткенде укукту анын ээсинен алып салыңыз жана берилген ар бир эсептик маалыматты анын ээсинен кайтарыңыз. Жүктөлгөн файлды өчүрүү кайтарып алуу эмес, ал эми тышкы идентификация дагы эле аутентификацияланса, жергиликтүү жазууну өчүрүү да кайтарып алуу эмес.

Андан кийин каттоону чабуулчу жасагандай сынап көрүңүз: жаңы идентификация менен бир жолу туташып, көздөлгөн ресурска кирүүнү ырастаңыз жана байланышы жок ресурс дагы эле баш тартарын ырастаңыз. Иштеген биринчи туташуу жана терс тест — бул бүткөн каттоо.

Жазууну ал таандык болгон профиль менен бирге сактаңыз. Кийинки аудитор белгилүү бир айда ким туташа аларын сурайт, ал эми жооп ошол үч ээде.