VPN autentifikavimo backend'o migravimas nepernaudojant senų maišos reikšmių

Vartotojų vardai atsiranda naujame kataloge, migracija paskelbiama baigta, o prisijungimai vis tiek nepavyksta. Tinklų sietuvui vis dar reikia palaikomo autentifikavimo kelio ir teisingo autorizacijos rezultato, ir nė vienas iš jų neišplaukia iš katalogo, kuriame dabar yra paskyros. Backend'o perkėlimas yra perėjimas su gyvavimo ciklu, o ne kopijavimo darbas. Toliau pateiktas simptomas yra tas, kuris paprastai atskleidžia skirtumą.

Simptomas: paskyros yra, sesijų nėra

Naujame kataloge yra kiekvienas vartotojo vardas, bandomasis susiejimas pavyksta, o VPN klientas vis tiek grąžina autentifikavimo klaidą. Toks derinys reiškia, kad tapatybė egzistuoja, bet tinklų sietuvo naudojamas patikros kelias jos nepasiekia arba pasiekia metodu, kurio ji negali patenkinti. Abu atvejai yra konfigūracija, ir tai skirtingos problemos.

Pirmasis yra laidai: tinklų sietuvas nurodo backend'ą, kuris neatsako, naudoja bendrą paslaptį, kurios kita pusė nesitiki, arba prašo atributo, kurio nauja paslauga negrąžina. Antrasis yra kriptografinis: metodas reikalauja pradinės paslapties, o naujoje saugykloje yra tik jos maišos reikšmė. Klaidos tekstas abiem atvejais panašus, todėl abu atvejai traktuojami kaip viena problema.

Šių dviejų atskyrimas prieš liečiant paskyras sutaupo savaitę. Vienas yra maršrutizavimo ir pasitikėjimo klausimas, kitas – sprendimas dėl prisijungimo duomenų atstatymo, o jų maišymas sukuria pakeitimus, kurių niekas negali priskirti.

Susiekite grandinę prieš ką nors perkeliant

Užrašykite šešis dalykus kiekvienam kliento profiliui: išorinį autentifikavimo metodą, galimą vidinį metodą, serverio tapatybę, kurios tikisi klientas, sąsają tarp tinklų sietuvo ir backend'o, atributą, kurį tinklų sietuvas susieja su grupės naryste, ir iš to kylančią išteklių politiką. Skaitymas iš eilės parodo, kuri grandis neturi šeimininko. Kiekvienas elementas turi atsakingą asmenį, o perėjimas žlunga ties tuo, kurio niekas nepatikrino.

Įprastas prisijungimas prie katalogo nepereina beveik nieko iš tos grandinės. Jis įrodo, kad paskyra egzistuoja ir slaptažodis veikia, būtent tą dalį, dėl kurios niekada nekilo abejonių.

Maišos reikšmės nekeliauja tarp metodų

Prisijungimo duomenų suderinamumas turi būti patikrintas vieną kartą, prieš perkeliant bet kurią grupę. FreeRADIUS aiškiai aprašo atskyrimą: CHAP patikra, kurią atlieka pats serveris, reikalauja tikrojo slaptažodžio, o MS-CHAP priima tą slaptažodį arba tinkamą NT medžiagą. Kitam tikslui sukurta maišos reikšmė netinka nė vienam atvejui, kad ir kokia stipri būtų.

Skirtumas yra tame, kas apskaičiuoja įrodymą. Metodas, kuris tikrina prisijungdamas prie katalogo, leidžia katalogui patikrinti tai, ką jis gali patikrinti. Metodas, kuris tikrina perskaičiuodamas iššūkio atsakymą, reikalauja pačios paslapties, nes serveris turi atlikti tą patį skaičiavimą.

Kur medžiagos trūksta, sąžiningos galimybės yra palaikomas atstatymas, pakartotinė registracija, išorinė patikros paslauga arba metodo pakeitimas. Laikinas atkuriamų slaptažodžių eksportas į šį sąrašą neįeina. Jis sukuria atviru tekstu saugomų prisijungimo duomenų saugyklą chaotiškiausią projekto savaitę, ir ji paprastai pergyvena migraciją.

Bandomoji grupė, tada gyvavimo ciklo pakeitimai

Perkelkite nedidelę patvirtintų tapatybių grupę su tikruoju klientu ir išbandykite keturis dalykus: naują prisijungimą, tyčia neteisingus prisijungimo duomenis, išteklius, kuriuos sesija gali pasiekti, ir išteklius, kurių negali pasiekti. Patikrinkite ir serverio tapatybę, kurią priėmė klientas, nes sertifikato pavadinimo neatitikimas yra nematomas, kol kas nors neperskaito kliento žurnalo.

Tada išbandykite pakeitimus, nuo kurių diegimas iš tikrųjų priklauso. Pakeiskite slaptažodį, atnaujinkite arba iš naujo užregistruokite sertifikatą ir panaikinkite prieigą vienai bandomajai paskyrai. Po kiekvieno patvirtinkite, kuris tikrintuvas apdorojo bandymą, nes prieš perėjimą sukurta sesija gali toliau veikti ir nieko neįrodo apie kitą prisijungimą.

Atskirkite profilio pristatymą nuo tapatybės perjungimo. Kiekvienai grupei reikia numatyto profilio, prisijungimo duomenų ar registracijos būsenos, autentifikavimo paslaugos, kurią ji turi naudoti, ir palaikymo kontakto, ir nė viename iš šių įrašų neturi būti paslapties.

Jei senas ir naujas keliai egzistuoja greta, apribokite juos pabaigos data. Automatinis atsarginis grįžimas gali įleisti paskyrą su senais prisijungimo duomenimis po to, kai naujasis savininkas panaikino prieigą, ir tai yra saugumo regresija, paslėpta po prieinamumo priedanga.

Atšaukimas negali atkurti prisijungimo duomenų

Perėjimo atšaukimas palieka katalogą lygiai tokį, koks jis yra dabar. Atstatytas slaptažodis lieka atstatytas, atšauktas sertifikatas lieka atšauktas, o pakeistas prisijungimo duomenų formatas lieka pakeistas. Tai įvykiai kataloge, ir tinklų sietuvas niekada nebuvo jų šaltinis. Atkūrimas turi būti apibrėžtas kiekvienam įvykiui, ir niekas iš to negali priklausyti nuo paslapties rekonstravimo iš nesuderinamos maišos reikšmės.

Išlaikykite administracinį kelią, kuris nenaudoja migruojamo ryšio. Kai naujas autentifikavimas nepavyksta, pristabdykite grupę ir naudokite jos dokumentuotą atkūrimo kelią, o ne silpninkite autentifikavimą visiems, kad laikytumėtės termino.

Kai grupės apimtos, išimkite senus backend'o prisijungimo duomenis, profilius ir pasitikėjimo ryšius per jų savininkus. Patvirtinkite, kad senas kelias nebeįleidžia vartotojų, ir išsaugokite be paslapčių tapatybės ir politikos susiejimą, kurio palaikymui dar reikia. Migracija baigta, kai naujas gyvavimo ciklas veikia ir niekas nebeįeina senu keliu, o ne tada, kai paskyrų sąrašas atrodo išsamus.