E VPN-Benutzer registréieren: fënnt d’Identitéit hire Propriétaire

Een freet no VPN-Zougang, an den éischten Instinkt ass, adduser um Server auszeféieren. Dësen Instinkt ass nëmmen an enger schmaler Rei vun Installatiounen richteg. Ier Dir eppes uleeë, öffnt d’Konfiguratioun vum Server a fënnt eraus, wéi e Produkt do leeft a wou et Umeldungsdaten validéiert, well de Kont an enger Produktdatebank, bei engem Identitéitsprovider oder am eegene Stack vun der Authentifizéierung vum Host kënnt liewen. Eng falsch Zort Kont uleeë léisst de Mënsch mat engem funktionéierende Login an ouni Tunnel.

E Clientprofil, deen OpenVPN seet, beschreift de Protokoll, net d’Identitéitssystem hannendrun.

Fänkt mam Server un, net mam adduser

Identifizéiert als éischt de Produkt. Community OpenVPN ass den Daemon plus all Authentifizéierung, déi Dir drugeschalt hutt, wärend Access Server e Produkt mat enger eegener Benutzerschicht ass. Frot no der Konfiguratioun, dem Numm vun der Unit an der Lëscht vun de Paketen, a préift, ob et eng Webinterface fir d’Benotzerverwaltung gëtt. Duerno kuckt, wéi dee installéierte Profil erwaart, datt d’Cliente beweise wien se sinn: engem Zertifikat, engem Benotzernumm an engem Passwuert oder béid. Déi Äntwert nennt de System, deem de Kont gehéiert.

Eréischt duerno huet de Saz de Benutzer uleeën eng Bedeitung. An enger Installatioun nëmme mat Zertifikater heescht dat, eng Apparat-Identitéit iwwer dee gudde Prozess auszeginn, an en Unix-Login ännert näischt. An enger Installatioun mam Passwuert heescht dat de Backend, deen d’Passwuert tatsächlech validéiert.

Véier Backends, véier Plazen, wou de Kont entsteet

D’lokal Authentifizéierung vum Access Server hält d’Konten an enger eegener Datebank, dofir gehéiert d’Interface fir se unzeleeën zum Produkt an net zum Host. PAM delegéiert d’Validatioun un den Stack vum Betribssystem, an dofir kann en lokalen Unix-Kont Deel vun der Registréierung sinn, wann de Service deen Stack gewielt huet. LDAP, RADIUS a SAML iwwerdroen d’Validatioun un en externen Service, wou d’Bereetstellung, d’Passwuertpolitik an d’MFA hinn. Access Server kann an allen véier Fäll nach Zertifikater a Permissiounen pro Benutzer halen, an dat mécht d’Opdeelung verwierrend.

Préift déi effektiv Method fir dëse konkrete Benutzer an net de globale Standard. Access Server 2.10 an duerno kënnen ënnerschiddlech Authentifizéierungsmethoden pro Grupp oder pro Benutzer uwenden, dofir bewäist e lokale Standard net, datt de Kont virun Iech lokal validéiert gëtt.

Den Droit ass eng eegen Entscheedung

D’Authentifizéierung äntwert, wien d’Persoun ass; den Droit äntwert, wouhin se ka kommen. Hält déi zwou als zwee Schrëtt, well e gelungenen Login ass keng Gewährung. Gitt déi virgesi Ruten, Ressource-Permissiounen an administrativ Rechter bewosst un, a bestätegt, datt onzougehéieregen Zougang refuséiert bleift. Wou d’Installatioun individuell Identitéite ënnerstëtzt, gitt eng pro Persoun aus, amplaz de Profil vun engem aneren weiderzeginn, well en gedeelte Profil net fir eng eenzeg Persoun zréckgezu ka ginn.

D’Clientmaterial mécht och eppes aus. En Auto-Login-Profil an en interaktiven Benutzer-Login stellen ënnerschiddlech Authentifizéierungsbezéiunge duer, an ee géint deen aneren ze tauschen ännert, wat de Server tatsächlech iwwerpréift.

Zougang zréckzéien ass Deel vun der Registréierung

Schreift dräi Propriétairë fest, wärend de Benutzer entsteet: wien de Kont validéiert, wien de VPN-Zougang autoriséiert a wéi en Apparat oder Profil d’Verbindung duerstellt. Dat kënnen dräi ënnerschiddlech Systemer sinn, an en Zréckzuchsplang, deen nëmmen ee vun hinnen nennt, léisst e Wee op. Wann d’Persoun geet, huelt den Droit bei sengem Propriétaire ewech a zitt all ausgestallt Umeldungsdaten bei hirem Propriétaire zréck. Eng erofgeluede Fichier läsche ass keng Zréckzuch, an eng lokal Androung läsche justsou wéineg, wann eng extern Identitéit sech nach authentifizéiert.

Testt duerno d’Registréierung, wéi en Ugräifer et géif maachen: verbënnt Iech eng Kéier mat der neier Identitéit, bestätegt den Zougang zu der virgesinner Ressource a bestätegt, datt eng onzougehéiereg Ressource nach ëmmer refuséiert. Eng éischt Verbindung, déi funktionéiert, plus en negative Test ass eng ofgeschloss Registréierung.

Hält de Rekord bei dem Profil, deem en gehéiert. Den nächsten Auditor wäert froen, wien an engem bestëmmte Mount konnt verbënnen, an d’Äntwert läit bei dësen dräi Propriétairë.