സേവന അക്കൗണ്ട് VPN ആക്സസ്: സർട്ടിഫിക്കറ്റോ പങ്കിട്ട ലോഗിനോ
മേൽനോട്ടമില്ലാത്ത VPN ആക്സസിനായി മെഷീൻ സർട്ടിഫിക്കറ്റിനെ സംഭരിച്ച പാസ്‌വേഡുമായി താരതമ്യം ചെയ്യുക, ലോഗിന് ശേഷം പ്രവർത്തിക്കുന്ന നയത്തിൽ യഥാർത്ഥ അനുമതി പരിധി വയ്ക്കുക.
മേൽനോട്ടമില്ലാത്ത ഏതാണ്ടെല്ലാ VPN ക്രമീകരണങ്ങളെയും രണ്ട് രൂപകൽപ്പനകൾ ഉൾക്കൊള്ളുന്നു: സ്ക്രിപ്റ്റിൽ സൂക്ഷിക്കുന്ന പങ്കിട്ട മനുഷ്യ ലോഗിൻ, അല്ലെങ്കിൽ ഹോസ്റ്റിലേക്ക് ബന്ധിച്ച മെഷീൻ സർട്ടിഫിക്കറ്റ്. അവ വ്യത്യസ്ത സ്ഥലങ്ങളിൽ പരാജയപ്പെടുന്നു, അത് ക്രമീകരണ വേഗതയേക്കാൾ പ്രധാനമാണ്. സംഭരിച്ച പാസ്‌വേഡ് അതിന്റെ ഉടമ മാറ്റുമ്പോഴോ പോകുമ്പോഴോ തകരുന്നു; സർട്ടിഫിക്കറ്റ് അതിന്റെ കാലാവധി തീരുമ്പോഴോ കീ ഇല്ലാതെ ഹോസ്റ്റ് പുനർനിർമ്മിക്കുമ്പോഴോ തകരുന്നു. ഏത് ചെലവ് വഹിക്കാം എന്നത് മൂന്ന് വ്യവസ്ഥകൾ തീരുമാനിക്കുന്നു, അനുമതി നയം അത് ചെയ്യുന്നതുവരെ ഒരു രൂപകൽപ്പനയും ഒന്നും പരിമിതപ്പെടുത്തുന്നില്ല.
അക്കൗണ്ടിൽ നിന്നല്ല, ജോലിയിൽ നിന്ന് തുടങ്ങുക
ജോലി പരിധി നിർവചിക്കുന്നു: ഏത് ലക്ഷ്യസ്ഥാനങ്ങൾ, ഏത് സേവനങ്ങൾ, ഏത് മണിക്കൂറുകൾ, ഒരു സെഷൻ എത്ര നേരം നീണ്ടുനിൽക്കാം. ടണൽ പാത ആ പരിധിയുടെ പകുതി മാത്രമാണ്. ഗേറ്റ്‌വേ സെഷൻ അനുവദനീയമാണോ എന്ന് തീരുമാനിക്കുന്നു; അതിന് പിന്നിലെ റിസോഴ്സ് സെഷൻ എന്ത് ചെയ്യാം എന്ന് തീരുമാനിക്കുന്നു. ആദ്യം പട്ടിക എഴുതുക, പേരുള്ള ഉടമയോടൊപ്പം, കാരണം രണ്ട് ഐഡന്റിറ്റി രൂപകൽപ്പനകളും അത് നിറവേറ്റണം.
അത് എഴുതുമ്പോൾ പ്രാമാണീകരണവും അനുമതിയും വേർതിരിച്ച് നിർത്തുക. പ്രാമാണീകരണം ആരാണ് ബന്ധിപ്പിക്കുന്നത് എന്ന് ഉത്തരം നൽകുന്നു; അനുമതി സെഷൻ പിന്നീട് എവിടെ എത്താം എന്ന് ഉത്തരം നൽകുന്നു. RADIUS രണ്ടാം ഭാഗം Filter-Id, Framed-IP-Address, Session-Timeout, Class പോലുള്ള ഗുണവിശേഷതകളായി കൊണ്ടുപോകുന്നു, ലോഗിൻ വിജയിച്ചാൽ ഗേറ്റ്‌വേ അവ ചേർക്കുന്നു. ലോഗിൻ മാറ്റി അനുമതി തൊടാതെ വിടുന്ന രൂപകൽപ്പന ഒന്നും പരിമിതപ്പെടുത്തിയിട്ടില്ല.
പങ്കിട്ട മനുഷ്യ ലോഗിൻ: പാസ്‌വേഡ് പരിധിയാകുന്നു
മനുഷ്യ അക്കൗണ്ട് വീണ്ടും ഉപയോഗിക്കുന്നത് ഏറ്റവും വേഗതയുള്ള വഴിയും ഏറ്റവും മോശമായി പഴകുന്നതും ആണ്. ക്രെഡൻഷ്യൽ ഒരു പാസ്‌വേഡ് ആണ്, അതിനാൽ അത് സ്ക്രിപ്റ്റിലും പരിസ്ഥിതി ഫയലിലും ഷെഡ്യൂളർ കോൺഫിഗറേഷനിലും എത്തുന്നു, ഓരോ പകർപ്പിനും റൊട്ടേഷൻ വേണം. ഉടമ വെള്ളിയാഴ്ച അത് മാറ്റിയാൽ അടുത്ത പ്രവർത്തനത്തിൽ ജോലി പരാജയപ്പെടും, ആരും നോക്കുന്നുമില്ല.
MFA ആണ് ഈ രൂപകൽപ്പന സാധാരണ തകരുന്ന സ്ഥലം. സ്ക്രിപ്റ്റിന് പുഷ് അഭ്യർത്ഥനയ്ക്ക് ഉത്തരം നൽകാനാകില്ല, അതിനാൽ അക്കൗണ്ട് നയത്തിൽ നിന്ന് ഒഴിവാക്കപ്പെടുന്നു, അത് ആക്രമണകാരി തിരഞ്ഞെടുക്കുന്ന അക്കൗണ്ട് തന്നെയാണ്. ഒഴിവാക്കലുകൾ, വിശ്വസ്ത സ്ഥല ബൈപ്പാസുകൾ, അക്കൗണ്ട് തിരിച്ചുള്ള ഒഴിവുകൾ എന്നിവ പെരുകുന്നു, അവയൊന്നും ടെനന്റ് ക്രമീകരണങ്ങൾ വായിക്കുന്ന അടുത്ത വ്യക്തിക്ക് കാണാനാകില്ല.
ആരോപണം മറ്റൊരു ചെലവാണ്. ഗേറ്റ്‌വേ ലോഗിലെ ഓരോ സെഷനും ഒരേ ഉപയോക്തൃനാമം വഹിക്കുന്നു, അതിനാൽ രാത്രി സമന്വയത്തെ അത് എഴുതിയ വ്യക്തിയുടെ ജോലിയിൽ നിന്ന് വേർതിരിക്കാനാകില്ല, കൂടാതെ ജോലി റദ്ദാക്കുന്നത് ആ വ്യക്തിയെ റദ്ദാക്കുന്നതാണ്.
മെഷീൻ സർട്ടിഫിക്കറ്റ്: ഹോസ്റ്റിലേക്ക് ബന്ധിച്ച ഐഡന്റിറ്റി
സർട്ടിഫിക്കറ്റ് ചോദ്യം അക്കൗണ്ടിന് എന്ത് അറിയാം എന്നതിൽ നിന്ന് ഹോസ്റ്റ് എന്താണ് എന്നതിലേക്ക് മാറ്റുന്നു. EAP-TLS-ൽ ക്ലയന്റ് സർട്ടിഫിക്കറ്റ് അവതരിപ്പിച്ച് യോജിക്കുന്ന സ്വകാര്യ കീയുടെ ഉടമസ്ഥത തെളിയിക്കുന്നു; നയ സർവർ വിഷയത്തെയോ കമ്പ്യൂട്ടർ അക്കൗണ്ടിനെയോ ഒരു ഗ്രൂപ്പിലേക്ക് മാപ്പ് ചെയ്ത് ആ ഗ്രൂപ്പിന്റെ നയം പ്രയോഗിക്കുന്നു. അഭ്യർത്ഥനയില്ല, ടെക്സ്റ്റ് ഫയലിൽ ഇരിക്കുന്ന പങ്കിട്ട രഹസ്യവുമില്ല.
അത് സൃഷ്ടിക്കുന്ന പരിധി ആളുകൾ പ്രതീക്ഷിക്കുന്നതിനേക്കാൾ ഇടുങ്ങിയതാണ്. സർട്ടിഫിക്കറ്റ് ഹോസ്റ്റിനെ പ്രാമാണീകരിക്കുന്നു, ജോലിയെയല്ല, root അല്ലെങ്കിൽ പ്രാദേശിക അഡ്മിൻ അവകാശമുള്ള ആർക്കും ആ ഹോസ്റ്റിൽ ആ കീ ഉപയോഗിക്കാം. കീ പ്ലാറ്റ്‌ഫോം അത് സംരക്ഷിക്കുന്നിടത്ത് സൂക്ഷിക്കുക: Windows സർട്ടിഫിക്കറ്റ് സ്റ്റോറിൽ എക്സ്പോർട്ട് ചെയ്യാനാകാത്തത്, പ്രൊഫൈൽ അനുവദിക്കുന്നിടത്ത് TPM പിന്തുണയോടെ, അല്ലെങ്കിൽ Linux-ൽ root ഉടമസ്ഥതയിലുള്ള 0600 ഫയൽ. ഹോസ്റ്റ് വിട്ടുപോകൽ ക്രെഡൻഷ്യൽ വിട്ടുപോകലാണ്.
കാലാവധി തീരുന്നത് ആവർത്തിക്കുന്ന പരാജയമാണ്. ഞായറാഴ്ച കാലാവധി തീരുന്ന സർട്ടിഫിക്കറ്റ് ഞായറാഴ്ച ജോലി നിർത്തുന്നു, ഗേറ്റ്‌വേ സാധാരണയായി തീയതി പറയുന്നതിനുപകരം പൊതുവായ പ്രാമാണീകരണ പരാജയം റിപ്പോർട്ട് ചെയ്യുന്നു. ജോലിയുടെ ഹോസ്റ്റിൽ നിന്ന് തീയതികൾ runbook-ന്റെ ഭാഗമായി പരിശോധിക്കുക:
openssl x509 -in client.pem -noout -subject -issuer -dates
ipsec listcertsറദ്ദാക്കലിന് ഗേറ്റ്‌വേ പരിശോധിക്കുന്ന ഒരു പാത വേണം. OpenVPN crl-verify ഓപ്ഷനിലൂടെ CRL വായിക്കുന്നു, strongSwan കണക്ഷൻ പ്രൊഫൈൽ എങ്ങനെ നിർമ്മിച്ചത് എന്നതിന് അനുസരിച്ച് CRL അല്ലെങ്കിൽ OCSP-യെ ആശ്രയിക്കുന്നു. രണ്ടും ബന്ധിപ്പിച്ചിട്ടില്ലെങ്കിൽ, ഹോസ്റ്റ് നീക്കം ചെയ്യുന്നത് സർട്ടിഫിക്കറ്റിന്റെ കാലാവധി തീരാൻ കാത്തിരിക്കുന്നു എന്നാണ്.
അവയ്ക്കിടയിൽ തീരുമാനിക്കുന്ന മൂന്ന് വ്യവസ്ഥകൾ
നിങ്ങളുടെ പക്കലുള്ള പ്ലാറ്റ്‌ഫോമുമായി താരതമ്യം ചെയ്യുക, ഒരു റഫറൻസ് രൂപകൽപ്പനയുമായല്ല.
ആദ്യ വ്യവസ്ഥ: ഗേറ്റ്‌വേയ്ക്ക് മെഷീൻ ഐഡന്റിറ്റി അനുമതി നൽകാനാകുമോ? അത് RADIUS ഉപയോക്തൃനാമം ഡയറക്ടറി ഉപയോക്താവിലേക്ക് മാപ്പ് ചെയ്യുക മാത്രമാണെങ്കിൽ, സർട്ടിഫിക്കറ്റ് ഹോസ്റ്റിനെ പ്രാമാണീകരിച്ച് പിന്നീട് അനുമതിയിൽ കുടുങ്ങുന്നു. രണ്ടാം വ്യവസ്ഥ: ജോലിക്ക് ഉപയോക്തൃ അക്കൗണ്ട് മാത്രം വഹിക്കുന്ന റിസോഴ്സ് ആക്സസ് ആവശ്യമാണോ, മാപ്പ് ചെയ്ത ഷെയർ അല്ലെങ്കിൽ സീറ്റിന് ലൈസൻസ് പോലെ? എങ്കിൽ മെഷീൻ ഐഡന്റിറ്റിക്ക് പകരം വയ്ക്കാനാകില്ല, സത്യസന്ധമായ ഉത്തരം പരിമിത നയത്തോടുകൂടിയ സമർപ്പിത ഉപയോക്തൃ അക്കൗണ്ടാണ്. മൂന്നാം വ്യവസ്ഥ: ലൂപ്പിൽ മനുഷ്യനില്ലാതെ ക്രെഡൻഷ്യൽ ആർക്ക് റൊട്ടേറ്റ് ചെയ്യാം? ഓട്ടോമാറ്റിക് രജിസ്ട്രേഷൻ സർട്ടിഫിക്കറ്റുകൾ വെച്ചുപുലർത്താൻ വിലകുറഞ്ഞതാക്കുന്നു; ഒരാൾക്ക് മാത്രം അറിയാവുന്ന പാസ്‌വേഡ് അല്ല.
| Constraint | Machine certificate | Dedicated user account with stored secret |
|---|---|---|
| Unattended login | Private key proof, no prompt | Only if the account is exempted from MFA |
| Resource expects a user identity | Works only when the resource accepts computer accounts | Matches the access a person would have |
| Rotation | Re-enrollment, often automated | Secret change plus redeploy of every copy |
| Revocation speed | Tied to CRL or OCSP refresh | Disable the account, immediate |
പട്ടിക റാങ്കിംഗ് അല്ല, ചെലവുകളുടെ പട്ടികയായി വായിക്കുക. സംഭരിച്ച രഹസ്യത്തിന്റെ കോളം റദ്ദാക്കൽ വേഗതയിലും ഉപയോക്തൃ അക്കൗണ്ടുകൾ മാത്രം മനസ്സിലാക്കുന്ന റിസോഴ്സുകളുമായുള്ള പൊരുത്തത്തിലും വിജയിക്കുന്നു; സർട്ടിഫിക്കറ്റ് കോളം റൊട്ടേഷനിലും സ്ക്രിപ്റ്റ് പ്രവർത്തിക്കാൻ MFA ദുർബലമാക്കാത്തതിലും വിജയിക്കുന്നു.
പരിധി നയത്തിൽ വയ്ക്കുക, പ്രാമാണീകരണത്തിന് ശേഷം
ഏത് ഐഡന്റിറ്റി തിരഞ്ഞെടുത്താലും, അനുമതി പരിധി പ്രാമാണീകരണത്തിന് ശേഷം പ്രവർത്തിക്കുന്ന നയത്തിനുള്ളതാണ്. NPS-ൽ നെറ്റ്‌വർക്ക് നയങ്ങൾ ക്രമത്തിൽ വിലയിരുത്തപ്പെടുന്നു, ഓരോ വ്യവസ്ഥയുമായും യോജിക്കുന്ന ആദ്യ നയം അതിന്റെ ക്രമീകരണങ്ങൾ പ്രയോഗിക്കുന്നു, അതിനാൽ ഇടുങ്ങിയ നയത്തിന് മുകളിൽ വയ്ക്കുന്ന വിശാല നയം ക്ലയന്റ് എന്ത് അവതരിപ്പിച്ചാലും ഫലം തീരുമാനിക്കുന്നു. Microsoft വ്യവസ്ഥയുടെയും ക്രമീകരണത്തിന്റെയും മാതൃക അതിന്റെ NPS നയ അവലോകനത്തിൽ.
ജോലിക്ക് അതിന്റേതായ ഗ്രൂപ്പോ നയ വ്യവസ്ഥയോ നൽകുക, മെഷീൻ ഐഡന്റിറ്റി വഹിക്കുന്ന എന്തെങ്കിലും അടിസ്ഥാനമാക്കി: സർട്ടിഫിക്കറ്റ് ടെംപ്ലേറ്റ്, വിളിക്കുന്ന സ്റ്റേഷൻ ഐഡന്റിഫയർ, അല്ലെങ്കിൽ സമർപ്പിത പൂളിൽ നിന്നുള്ള വിലാസം. പിന്നീട് ഗുണവിശേഷതകൾ കൊണ്ട് സെഷൻ പരിമിതപ്പെടുത്തുക: നിങ്ങളുടെ ഗേറ്റ്‌വേ മാപ്പ് ചെയ്യുന്ന റോളിനുള്ള Filter-Id, കുടുങ്ങിയ ജോലി ദിവസങ്ങളോളം സെഷൻ പിടിക്കുന്നതിനുപകരം വീണ്ടും പ്രാമാണീകരിക്കാൻ ചെറിയ Session-Timeout, മറുവശത്ത് നിങ്ങൾ ഫയർവാൾ ചെയ്യുന്ന പൂളിൽ നിന്നുള്ള Framed-IP-Address. ആപ്ലിക്കേഷൻ അനുമതി വേറിട്ടു നിൽക്കുന്നു: ഡാറ്റാബേസ് സർവറിലേക്കുള്ള ടണൽ അതിനുള്ളിലെ പട്ടിക വായിക്കാനുള്ള അനുമതിയല്ല.
നിരസിക്കലുകൾ പരിശോധിക്കുക, പിന്നീട് നീക്കം പ്ലാൻ ചെയ്യുക
പ്രവർത്തിക്കുന്ന ആക്സസ് ഏറ്റവും കുറഞ്ഞ അവകാശത്തെക്കുറിച്ച് ഒന്നും തെളിയിക്കുന്നില്ല. പകരം നിരസിക്കലുകൾ പരീക്ഷിക്കുക: ജോലിയുടെ ഐഡന്റിറ്റിയുമായി ബന്ധിപ്പിച്ച് പട്ടികയ്ക്ക് പുറത്തുള്ള ലക്ഷ്യത്തിലേക്ക് എത്താൻ ശ്രമിക്കുക, ഗേറ്റ്‌വേ ഒന്നിന് മാത്രം അനുമതി നൽകേണ്ടതാണെങ്കിൽ രണ്ടാമത്തെ സമകാലിക സെഷൻ തുറക്കുക, ക്രെഡൻഷ്യൽ റദ്ദാക്കിയ ശേഷം ലോഗിൻ ആവർത്തിക്കുക.
പിന്നീട് അതേ സെഷൻ രണ്ടിടത്ത് സ്ഥിരീകരിക്കുക. ഗേറ്റ്‌വേ ലോഗ് പ്രാമാണീകരിച്ച ഐഡന്റിറ്റി കാണിക്കുന്നു; നയ സർവർ ലോഗ് ഏത് നയം യോജിച്ചു, ഏത് ഗുണവിശേഷതകൾ തിരികെ നൽകി എന്ന് കാണിക്കുന്നു. OpenVPN-ൽ സർവർ സർട്ടിഫിക്കറ്റിന്റെ പൊതുനാമം രേഖപ്പെടുത്തുന്നു, strongSwan-ൽ ipsec statusall ഉപയോഗത്തിലുള്ള ഐഡന്റിറ്റിയോടെ സ്ഥാപിത ടണൽ പ്രിന്റ് ചെയ്യുന്നു. രണ്ട് ലോഗുകളും ഐഡന്റിറ്റിയിൽ യോജിക്കുന്നില്ലെങ്കിൽ, നയം നിങ്ങൾ അനുമാനിക്കുന്നതിൽ നിന്ന് വ്യത്യസ്തമായ എന്തോ ഒന്നുമായി യോജിക്കുന്നു.
നീക്കം രൂപകൽപ്പനയുടെ ഭാഗമാണ്, വൃത്തിയാക്കൽ സ്പ്രിന്റിന്റേതല്ല. ഇല്ലാതാക്കേണ്ടതെല്ലാം എഴുതുക (സർട്ടിഫിക്കറ്റ് അല്ലെങ്കിൽ അക്കൗണ്ട്, ഗ്രൂപ്പ് അംഗത്വം, നെറ്റ്‌വർക്ക് നയം, പൂൾ എൻട്രി, ലക്ഷ്യത്തിലെ ഫയർവാൾ നിയമം) ജോലി വീണ്ടും നിർമ്മിക്കാൻ എളുപ്പമുള്ളപ്പോൾ ഒരിക്കൽ പ്രവർത്തിപ്പിക്കുക.
ഇന്ന് തുടങ്ങുകയാണെങ്കിൽ, ഈ ക്രമത്തിൽ പ്രവർത്തിക്കുക: റിസോഴ്സ് പട്ടിക എഴുതുക, മൂന്ന് വ്യവസ്ഥകളോടെ ഐഡന്റിറ്റി തിരഞ്ഞെടുക്കുക, നയത്തിൽ പരിധി വയ്ക്കുക, ജോലി പ്രവർത്തനക്ഷമമാകുന്നതിന് മുമ്പ് ഒരു നിരസിക്കൽ അഭ്യസിക്കുക.