VPN-Zougang mam Servicekont: Zertifikat oder gedeelte Login

Zwee Konzepter decken bal all oniwwerwaacht VPN-Astellung: en gedeelte mënschleche Login, deen an engem Skript gehal gëtt, oder en Maschinnzertifikat, dat un den Host gebonnen ass. Si schloe op verschiddene Plazen fehl, wat méi wichteg ass wéi d’Astellungsvitess. E gespäichert Passwuert briecht, wann den Eegentemer et ännert oder fortgeet; en Zertifikat briecht, wann et ofleeft oder wann den Host ouni de Schlëssel nei gebaut gëtt. Dräi Konditiounen entscheeden, wéi eng Käschten Dir dréit, an keen vun den zwee Konzepter limitéiert eppes, bis d’Autorisatiounspolitik et mécht.

Fänkt bei der Aufgab un, net beim Kont

D’Aufgab definéiert d’Grenz: wéi eng Ziler, wéi eng Servicer, wéi eng Stonnen, wéi laang eng Sessioun lafe ka. Eng Tunnelstreck ass just d’Halschent vun dëser Grenz. D’Gateway entscheet, ob d’Sessioun erlaabt ass; d’Ressource hannendrun entscheet, wat d’Sessioun maache kann. Schreift d’Lëscht als éischt op, mat engem genannte Besëtzer, well béid Identitéitskonzepter se erfëlle mussen.

Haalt Authentifikatioun an Autorisatioun getrennt, wärend Dir dat schreift. Authentifikatioun äntwert, wien sech verbënnt; Autorisatioun äntwert, wat d’Sessioun duerno erreeche kann. RADIUS dréit den zweeten Deel als Attributer wéi Filter-Id, Framed-IP-Address, Session-Timeout an Class, an d’Gateway hänkt se un, soubal de Login geléngt. En Konzept, deen de Login austauscht an d’Autorisatioun onberéiert léisst, huet näischt limitéiert.

Gedeelte mënschleche Login: d’Passwuert gëtt d’Grenz

En mënschleche Kont nei ze benotzen ass de séiersten Wee an deen, deen am schlechtesten altert. D’Identitéitsdaten sinn e Passwuert, also landen se an engem Skript, enger Ëmweltdatei an enger Scheduler-Konfiguratioun, an all Kopie brauch eng Rotatioun. Wann den Eegentemer et freides ännert, fällt d’Aufgab beim nächsten Laf aus an et kuckt keen.

MFA ass dee Punkt, wou dëst Konzept normalerweis zesummebrécht. E Skript kann net op eng Push-Ufro äntweren, also gëtt de Kont aus der Politik ausgeschloss, an dat ass genau de Kont, deen en Ugräifer wielen. Ausnamen, Ëmgeeë vun vertrauenswierdege Plazen an Ausnamen pro Kont multiplizéieren sech, an keen ass fir déi nächst Persoun sichtbar, déi d’Mieter-Astellungen liest.

Zouuerdnung ass déi aner Käschten. All Sessioun am Gateway-Log dréit deeselwechten Benotzernumm, also kann d’Nuechtssynchronisatioun net vun der Aarbecht vun der Persoun ënnerscheet ginn, déi se geschriwwen huet, an d’Aufgab zréckzezéien heescht déi Persoun zréckzezéien.

Maschinnzertifikat: Identitéit un den Host gebonnen

En Zertifikat ännert d’Fro vun deem, wat de Kont weess, op deem, wat den Host ass. Mat EAP-TLS presentéiert de Client en Zertifikat a beweist de Besëtz vum passenden private Schlëssel; de Politikserver mappt de Sujet oder de Computerkont op eng Grupp an appléiert d’Politik fir déi Grupp. Kee Prompt, kee gedeelte Geheimnis an enger Textdatei.

D’Grenz, déi et schaaft, ass méi schmuel wéi d’Leit erwaarden. En Zertifikat authentifizéiert den Host, net d’Aufgab, an jiddereen mat Root- oder lokalem Administrateursrechter kann dee Schlëssel op deem Host benotzen. Haalt de Schlëssel do, wou d’Plattform en schützt: net exportéierbar am Windows-Zertifikatsspäicher, TPM-ënnerstëtzt wou de Profil et erlaabt, oder eng Root-eegen 0600-Datei op Linux. D’Kompromittéiere vum Host ass d’Kompromittéiere vun den Identitéitsdaten.

Den Oflaf ass de widderhuelende Fehler. En Zertifikat, deen e Sonndeg ofleeft, stoppt d’Aufgab e Sonndeg, an d’Gateway mellt meeschtens en allgemengen Authentifikatiounsfehler amplaz den Datum ze nennen. Kontrolléiert d’Datumen vum Aufgabhost als Deel vum Runbook:

openssl x509 -in client.pem -noout -subject -issuer -dates
ipsec listcerts

Zréckzéien brauch e Wee, deen d’Gateway kontrolléiert. OpenVPN liest eng CRL iwwer d’Optioun crl-verify, an strongSwan hänkt vun CRL oder OCSP of, jee nodeem wéi de Verbindungsprofil gebaut ass. Wann keen vun deenen zwee ugeschloss ass, heescht en Host ze läschen, op den Oflaf vum Zertifikat ze waarden.

Dräi Konditiounen, déi tëschent hinnen entscheeden

Maacht de Verglach mat der Plattform, déi Dir hutt, net mat engem Referenzkonzept.

Éischt Konditioun: kann d’Gateway eng Maschinnidentitéit autoriséieren? Wann et just e RADIUS-Benotzernumm op e Verzeechnesbenotzer mappt, authentifizéiert en Zertifikat den Host an hält dann bei der Autorisatioun un. Zweet Konditioun: brauch d’Aufgab Ressourcezougang, deen nëmmen e Benotzerkont dréit, wéi eng gemappte Freigab oder eng Lizenz pro Sëtz? Dann kann eng Maschinnidentitéit net ersetzen, an déi éierlech Äntwert ass en dedizéierte Benotzerkont mat enger enker Politik. Drëtt Konditioun: wien kann d’Identitéitsdaten ouni eng Persoun am Krees rotéieren? Automatesch Enregistrement mécht Zertifikater bëlleg ze halen; e Passwuert, dat eng Persoun kennt, net.

Liest d’Tabell als Lëscht vu Käschten, net als Rang. D’Kolon vum gespäicherte Geheimnis gewënnt bei der Zréckzéivitess an bei der Kompatibilitéit mat Ressourcen, déi nëmme Benotzerkonte verstinn; d’Zertifikatskolon gewënnt bei der Rotatioun an dodrun, datt MFA net geschwächt gëtt, fir e Skript ze bedreiwen.

Setzt d’Grenz an d’Politik, nom Authentifikatioun

Wéi eng Identitéit Dir och wielt, d’Permissiounsgrenz gehéiert zu der Politik, déi nom Authentifikatioun leeft. An NPS ginn Netzwierkpolitike mat der Rei evaluéiert an déi éischt Politik, déi all Konditioun entsprécht, applizéiert hir Astellungen, also entscheet eng breet Politik iwwer enger enker d’Resultat, egal wat de Client presentéiert. Microsoft dokumentéiert de Konditiouns- an Astellungsmodell an senger Iwwersiicht vun den NPS-Politiken.

Gitt der Aufgab hir eege Grupp oder Politikskonditioun, baséiert op eppes, wat d’Maschinnidentitéit dréit: eng Zertifikatsvirlaag, en Identifiant vun der uriefender Statioun oder eng Adress aus engem dedizéierte Pool. Begrenzt dann d’Sessioun mat Attributer: en Filter-Id fir d’Roll, op déi Är Gateway se mappt, en kuerzen Session-Timeout, sou datt eng hänkenge bliwwen Aufgab sech nei authentifizéiert amplaz eng Sessioun iwwer Deeg ze halen, an eng Framed-IP-Address aus engem Pool, op deen Dir op der anerer Säit eng Firewall setzt. D’Applikatiounsautorisatioun bleift getrennt: en Tunnel zu engem Datebankserver ass keng Erlaabnis, eng Tabell dobannen ze liesen.

Verifizéiert d’Ofleenungen, plangt dann d’Ewechhuelen

Zougang, dee funktionéiert, bewäist näischt iwwer dee mannste Privileg. Test d’Ofleenungen amplaz: verbënnt Iech mat der Aufgabidentitéit a probéiert en Zil baussent der Lëscht z’erreechen, maacht eng zweet gläichzäiteg Sessioun op, wann d’Gateway just eng erlabe soll, a widderhëlt de Login nom Zréckzéie vun den Identitéitsdaten.

Bestätegt dann déi selwecht Sessioun op zwou Plazen. De Gateway-Log weist d’Identitéit, déi authentifizéiert gouf; de Log vum Politikserver weist, wéi eng Politik entsprach huet a wéi eng Attributer se zréckginn huet. Op OpenVPN registréiert de Server den allgemengen Numm vum Zertifikat, an ipsec statusall op strongSwan dréckt den etabléierten Tunnel mat der benotzter Identitéit. Wann déi zwee Loggen iwwer d’Identitéit net eens sinn, entsprécht d’Politik eppes anescht wéi dir unhëlt.

D’Ewechhuelen gehéiert zum Konzept, net zu engem Botz-Sprint. Schreift alles op, wat geläscht muss ginn (Zertifikat oder Kont, Gruppememberschaft, Netzwierkpolitik, Pool-Andrag, Firewallregel um Zil) a féiert et eemol aus, wärend d’Aufgab liicht nei ze bauen ass.

Wann Dir haut ufänkt, schafft an dëser Reihenfolg: schreift d’Ressourcelëscht, wielt d’Identitéit mat den dräi Konditiounen, setzt d’Grenz an d’Politik, a praktizéiert eng Ofleenung, ier d’Aufgab a Betrib geet.