D’VPN-Zertifikat schützt den LDAP-Deel net

Eng VPN-Umeldung, déi d’Authentifikatiounsdonnéeën géint en Verzéischnis préift, ëmfaasst zwou getrennte Netzwierkverbindungen. D’Verbindung vum Benotzer zum Gateway ass duerch d’eegen Zertifikat vun der VPN an d’Protokollkonfiguratioun geschützt. D’Verbindung vum Gateway zum Verzeechnis ass eng aner Sessioun mat hiren eegenen TLS-Astellungen, hirem eegene Vertrauensspäicher an hirem eegene Fehlermodus. Näischt vun der éischter garantéiert näischt iwwer déi zweeter.

Dës Asymmetrie ass de Mechanismus hannert enger Umeldung, déi verschlësselt ausgesäit an awer e Bind-Passwuert am Kloertext schéckt.

Zwou Verbindungen, zwou Vertrauensentscheedungen

Déi baussenzeg Sessioun ass dat, wat de Benotzer gesäit: en Zertifikat, dat un den Hostnumm vun der VPN gebonnen ass, vum Client validéiert gëtt an den Authentifikatiounsaustausch dréit. Déi bannenzeg Sessioun gehéiert dem Verzeechnisclient a bannen am Gateway, dee seng eege Verbindung opmécht an entweder TLS aushandelt oder net. All Säit validéiert de Géigeniwwer, mat deem se schwätzt, mat Material aus enger anerer Konfiguratiounsdatei. En falsch konfiguréierten bannenzege Deel bleift vun der Benotzersäit onsiichtbar, well den baussenzegen Deel genee esou funktionéiert wéi et virgesi war.

Dofir ass de Fehler stëll an net haart. E Gateway, dee ni d’Zertifikat vum Verzeechnis préift, authentifizéiert d’Benotzer nach ëmmer richteg; et authentifizéiert se just iwwer en Kanal, deen et net verifizéiert huet.

StartTLS an LDAPS, bewosst gewielt

StartTLS mécht als einfachen LDAP op an gëtt op der Plaz aktualiséiert, normalerweis um Port 389. LDAPS fänkt TLS mat der Verbindung un, normalerweis um 636. Béid si legitim an den Adapter muss zu deem passen, wat de Verzeechnis ubitt. StartTLS ze verlaangen ass anescht wéi et ze probéieren an ze weiderzefueren, wann d’Aktualiséierung feelt, a genee an deem Ënnerscheed kann e Bind-Passwuert entkommen. Konfiguréiert de strikte Modus a loosst keng ongeschützte Fallback-Wee fir e Bind mat Passwuert zou.

ldapsearch -H ldap://dc1.corp.example -ZZ -x -D "CN=VPN Bind,OU=Service Accounts,DC=corp,DC=example" -W -b "DC=corp,DC=example" "(sAMAccountName=example-user)" dn

D’Optioun -ZZ ass de ganzen Punkt: d’Ufro feelt, amplaz stëll ouni d’Aktualiséierung weiderzefueren. D’Nimm an d’Konten an där Linn si Beispiller. D’OpenLDAP-TLS-Dokumentatioun deckt d’Vertrauensastellungen hannendrun of.

Wee Vertrauensspäicher liest den LDAP-Client?

D’OpenLDAP-Clientbibliothéik liest hir eegen Vertrauenskonfiguratioun, sief et aus der Systemdatei oder aus enger pluginspezifescher Astellung. D’CA-Direktiv vun der VPN gëllt fir VPN-Peers a beweist net, datt d’LDAP-Bibliothéik déiselwecht Datei liest. Benotzt den Hostnumm vum Verzeechnis, deen den Zertifikat tatsächlech deckt, plus d’Ausstellkette, där d’Bibliothéik vertraut. An Active Directory setzt en Verzeechnissdéngscht-Zertifikat mat der richteger Notzung fir Serverauthentifikatioun an, amplaz aus engem ugewisenen Numm ze schléissen.

All Failover-Zil muss déiselwecht Identitéitspolitik erfëllen. Eng Ëmgéigend, an där dat primärt validéiert gëtt an dat sekundärt net, ass schlëmmer wéi eng ouni Failover, well dee méi schwaache Wee nëmmen an enger Stéierung entdeckt gëtt.

De Bind-Kont bleift e separat Problem

Den Transport ze schützen reduzéiert net, wat de Bind-Kont däerf. De Verzeechnis-Sichberäich, d’Gruppenauthorisatioun an d’Privilegien vum Déngschtkont si separat Entscheedungen, an e breede Bind-Kont bleift breet nodeems TLS aktivéiert gouf. Benotzt de schmuelste Déngschtkont an d’Sichbasis, déi d’Integratioun brauch, a registréiert den Endpunkt, den TLS-Modus, den Eegentemer vum Vertrauen an de Renewal-Prozess zesumme mat der VPN-Konfiguratioun.

Wann eng Zertifikatsdifferenz erschéngt, setzt den richtegen Zertifikat oder d’Kette an. D’Verifizéierung auszeschalten verwandelt eng sichtbar Differenz an eng onsichtbar an léisst déi zweet Vertrauensbezéiung ongetest.

Zwou Verbindungen, zwee Besëtzer, zwee Renewal-Daten. Se an der Dokumentatioun getrennt ze halen ass dat, wat d’Umeldung éierlech hält.