Регистрација на VPN корисник: прво пронајдете го сопственикот на идентитетот

Некој бара пристап до VPN, а првиот инстинкт е да се изврши adduser на серверот. Тој инстинкт е точен само во тесен склоп на распоредувања. Пред да создадете нешто, отворете ја конфигурацијата на серверот и откријте кој производ работи таму и каде ги проверува акредитивите, бидејќи сметката може да живее во база на производот, кај давател на идентитет или во сопствениот стек за автентикација на домаќинот. Создавањето погрешен тип сметка го остава човекот со работно најавување и без тунел.

Клиентскиот профил што вели OpenVPN го опишува протоколот, а не идентитетскиот систем зад него.

Започнете од серверот, не од adduser

Прво идентификувајте го производот. Community OpenVPN е демонот плус секоја автентикација што сте ја поврзале со него, додека Access Server е производ со сопствен кориснички слој. Побарајте конфигурацијата, името на единицата и списокот пакети, и проверете дали постои веб-интерфејс за управување со корисници. Потоа погледнете како распоредениот профил очекува клиентите да докажат кои се: со сертификат, со корисничко име и лозинка, или со двете. Тој одговор го именува системот што ја поседува сметката.

Само потоа фразата создавање на корисникот има значење. Во распоредување само со сертификати тоа значи издавање идентитет на уред преку одобрениот процес, а најавувањето на Unix не менува ништо. Во распоредување со лозинка тоа значи backend што навистина ја проверува лозинката.

Четири backend-а, четири места за создавање сметка

Локалната автентикација на Access Server ги чува сметките во сопствената база, па интерфејсот за нивно создавање и припаѓа на производот, а не на домаќинот. PAM ја пренесува проверката на стекот на оперативниот систем, и затоа локална Unix сметка може да биде дел од регистрацијата кога услугата го избрала токму тој стек. LDAP, RADIUS и SAML ја преместуваат проверката во надворешна услуга, каде живеат обезбедувањето, политиката за лозинки и MFA. Access Server во сите четири случаи може да чува сертификати и дозволи по корисник, и токму тоа ја прави поделбата збунувачка.

Проверете го ефективниот метод за овој конкретен корисник, а не глобалната стандардна вредност. Access Server 2.10 и подоцнежните можат да применат различни методи на автентикација по група или по корисник, па стандардната локална вредност не докажува дека сметката пред вас се проверува локално.

Правото е одделна одлука

Автентикацијата одговара кој е човекот; правото одговара до што може да стигне. Држете ги како два чекора, бидејќи успешното најавување не е доделување. Намерно доделете ги предвидените рути, дозволите за ресурси и административните права и потврдете дека неповрзаниот пристап останува одбиен. Каде распоредувањето поддржува индивидуални идентитети, издавајте по еден на човек наместо да препраќате туѓ профил, бидејќи заеднички профил не може да се одземе за еден човек.

Клиентскиот материјал исто така е важен. Профилот со автоматско најавување и интерактивното корисничко најавување претставуваат различни односи на автентикација, а замената на едното со другото менува што серверот навистина проверува.

Одземањето пристап е дел од регистрацијата

Запишете три сопственици додека се создава корисникот: кој ја проверува сметката, кој го одобрува пристапот до VPN и кој уред или профил го претставува поврзувањето. Тоа можат да бидат три различни системи, а план за одземање што именува само еден од нив остава отворена патека. Кога човекот заминува, отстранете го правото од неговиот сопственик и повлечете ги сите издадени акредитиви кај нивниот сопственик. Бришење преземена датотека не е повлекување, и не е ни бришење локален запис ако надворешен идентитет и понатаму се автентицира.

Потоа тестирајте ја регистрацијата како што би направил напаѓач: поврзете се еднаш со новиот идентитет, потврдете го пристапот до предвидениот ресурс и потврдете дека неповрзан ресурс и понатаму одбива. Првата врска што работи плус негативен тест е завршена регистрација.

Чувајте го записот со профилот на кој му припаѓа. Следниот ревизор ќе праша кој можел да се поврзе во даден месец, а одговорот живее во тие три сопственици.