Үйлчилгээний бүртгэлийн VPN хандалт: гэрчилгээ эсвэл хуваалцсан нэвтрэлт
Хяналтгүй VPN хандалтад машины гэрчилгээг хадгалагдсан нууц үгтэй харьцуулж, бодит зөвшөөрлийн хязгаарыг нэвтрэлтийн дараа ажиллах бодлогод тавь.
Бараг бүх хяналтгүй VPN тохиргоог хоёр загвар хамардаг: скриптэд хадгалагдсан хуваалцсан хүний нэвтрэлт эсвэл хостод холбогдсон машины гэрчилгээ. Тэд өөр өөр газарт бүтэлгүйтдэг бөгөөд энэ нь тохиргооны хурдаас илүү чухал. Хадгалагдсан нууц үг эзэн нь өөрчлөх эсвэл явах үед эвдэрдэг; гэрчилгээ нь хугацаа дуусах эсвэл хост түлхүүргүйгээр дахин бүтээгдэх үед эвдэрдэг. Ямар зардлыг дааж чадахыг гурван нөхцөл шийддэг бөгөөд зөвшөөрлийн бодлого үүнийг хийх хүртэл аль ч загвар юуг ч хязгаарлахгүй.
Бүртгэлээс биш, ажлаас эхэл
Ажил хязгаарыг тодорхойлдог: аль очих газар, аль үйлчилгээ, аль цаг, сесс хэр удаан үргэлжлэх вэ. Туннелийн зам тэр хязгаарын хагас л юм. Гарц нь сессийг зөвшөөрөх эсэхийг шийддэг; түүний ард байгаа нөөц сесс юу хийж чадахыг шийддэг. Эхлээд жагсаалтыг нэрлэсэн эзэнтэйгээр бич, учир нь хоёр таних загвар хоёулаа түүнийг хангах ёстой.
Бичихдээ баталгаажуулалт ба зөвшөөрлийг тусдаа бариарай. Баталгаажуулалт хэн холбогдож байгааг хариулна; зөвшөөрөл сесс дараа нь юунд хүрч болохыг хариулна. RADIUS хоёр дахь хэсгийг Filter-Id, Framed-IP-Address, Session-Timeout, Class зэрэг шинж чанараар зөөдөг бөгөөд нэвтрэлт амжилттай болмогц гарц тэдгээрийг хавсаргана. Нэвтрэлтийг сольж, зөвшөөрлийг хөндөхгүй үлдээсэн загвар юуг ч хязгаарлаагүй.
Хуваалцсан хүний нэвтрэлт: нууц үг нь хязгаар болно
Хүний бүртгэлийг дахин ашиглах нь хамгийн хурдан зам бөгөөд хамгийн муу хөгшрөх зам. Итгэмжлэл нь нууц үг тул скрипт, орчны файл, хуваарилагчийн тохиргоонд орж, хуулбар бүр эргэлт шаарддаг. Эзэн нь баасан гарагт сольсон бол ажил дараагийн ажиллагаанд бүтэлгүйтэх бөгөөд хэн ч харахгүй.
MFA бол энэ загвар ихэвчлэн нуран унах газар. Скрипт push хүсэлтэд хариулж чадахгүй тул бүртгэлийг бодлогоос хасаж, энэ нь халдагчийн сонгох бүртгэл нь яг тэр юм. Онцгой тохиолдол, итгэмжлэгдсэн байршлыг тойрох, бүртгэл тус бүрийн чөлөөлөлт үржиж, тэдгээрийн аль нь ч түрээслэгчийн тохиргоог уншиж буй дараагийн хүнд харагдахгүй.
Хамааруулалт нь нөгөө зардал. Гарцын бүртгэлийн сесс бүр ижил хэрэглэгчийн нэрийг агуулдаг тул шөнийн синхрончлолыг үүнийг бичсэн хүний ажлаас ялгах боломжгүй бөгөөд ажлыг цуцлах нь тэр хүнийг цуцлахыг хэлнэ.
Машины гэрчилгээ: хостод холбогдсон таних тэмдэг
Гэрчилгээ нь асуултыг бүртгэл юу мэдэхээс хост юу болох руу өөрчилдөг. EAP-TLS-тэй үйлчлүүлэгч гэрчилгээ танилцуулж, тохирох хувийн түлхүүрийг эзэмшиж байгаагаа баталдаг; бодлогын сервер субъект эсвэл компьютерийн бүртгэлийг бүлэгт буулгаж, тухайн бүлгийн бодлогыг хэрэглэдэг. Хүсэлтгүй, текст файлд суусан хуваалцсан нууцгүй.
Үүсгэх хязгаар нь хүмүүсийн хүлээхээс нарийн. Гэрчилгээ нь ажлыг биш, хостыг баталгаажуулдаг бөгөөд root эсвэл локал администраторын эрхтэй хэн ч тэр хост дээр тэр түлхүүрийг ашиглаж болно. Түлхүүрийг платформ хамгаалж буй газарт хадгал: Windows гэрчилгээний санд экспортлох боломжгүй, профайл зөвшөөрвөл TPM дэмжлэгтэй, эсвэл Linux дээр root-д харьяалагдах 0600 файл. Хост эвдрэх нь итгэмжлэл эвдрэхтэй ижил.
Хугацаа дуусах нь давтагдах эвдрэл. Ням гарагт хугацаа дуусах гэрчилгээ ням гарагт ажлыг зогсоож, гарц ихэвчлэн огноог нэрлэхийн оронд ерөнхий баталгаажуулалтын алдаа мэдээлдэг. Ажлын хостоос огноог runbook-ийн хэсэг болгон шалга:
openssl x509 -in client.pem -noout -subject -issuer -dates
ipsec listcertsЦуцлалт нь гарц шалгадаг зам шаарддаг. OpenVPN crl-verify сонголтоор CRL уншиж, strongSwan холболтын профайл хэрхэн бүтсэнээс хамаарч CRL эсвэл OCSP-д тулгуурладаг. Хоёулаа холбогдоогүй бол хостыг зайлуулах нь гэрчилгээний хугацаа дуустал хүлээхийг хэлнэ.
Тэдний хооронд шийдвэрлэх гурван нөхцөл
Харьцуулалтыг өөрийн платформтой хий, жишиг загвартай биш.
Эхний нөхцөл: гарц машины таних тэмдгийг зөвшөөрч чадах уу? Хэрэв зөвхөн RADIUS хэрэглэгчийн нэрийг лавлах хэрэглэгч рүү буулгадаг бол гэрчилгээ хостыг баталгаажуулаад зөвшөөрөл дээр гацдаг. Хоёр дахь нөхцөл: ажилд зөвхөн хэрэглэгчийн бүртгэл агуулдаг нөөцийн хандалт хэрэгтэй юу, жишээ нь холбогдсон хуваалцсан хавтас эсвэл суудал тутмын лиценз? Тэгвэл машины таних тэмдэг орлож чадахгүй бөгөөд шударга хариулт нь хязгаарлагдмал бодлоготой зориулалтын хэрэглэгчийн бүртгэл юм. Гурав дахь нөхцөл: циклд хүнгүйгээр итгэмжлэлийг хэн эргүүлж чадах вэ? Автомат бүртгэл гэрчилгээг хадгалахад хямд болгодог; нэг хүний мэддэг нууц үг тийм биш.
| Constraint | Machine certificate | Dedicated user account with stored secret |
|---|---|---|
| Unattended login | Private key proof, no prompt | Only if the account is exempted from MFA |
| Resource expects a user identity | Works only when the resource accepts computer accounts | Matches the access a person would have |
| Rotation | Re-enrollment, often automated | Secret change plus redeploy of every copy |
| Revocation speed | Tied to CRL or OCSP refresh | Disable the account, immediate |
Хүснэгтийг зэрэглэл биш, зардлын жагсаалт гэж унш. Хадгалагдсан нууцын багана нь цуцлалтын хурд болон зөвхөн хэрэглэгчийн бүртгэл ойлгодог нөөцтэй нийцэх байдалд ялдаг; гэрчилгээний багана нь эргэлт болон скрипт ажиллахын тулд MFA-г сулруулахгүй байх тал дээр ялдаг.
Хязгаарыг бодлогод тавь, баталгаажуулалтын дараа
Ямар ч таних тэмдэг сонгосон, зөвшөөрлийн хязгаар нь баталгаажуулалтын дараа ажиллах бодлогод хамаарна. NPS-д сүлжээний бодлогууд дарааллаар үнэлэгдэж, бүх нөхцөлд тохирох эхний бодлого өөрийн тохиргоог хэрэглэдэг тул нарийн бодлогын дээр тавьсан өргөн бодлого нь үйлчлүүлэгч юу танилцуулснаас үл хамааран үр дүнг шийддэг. Microsoft нөхцөл ба тохиргооны загварыг өөрийн NPS бодлогын тоймд.
Ажилд өөрийн бүлэг эсвэл бодлогын нөхцөл өг, машины таних тэмдэг агуулдаг зүйлд үндэслэн: гэрчилгээний загвар, дуудлагын станцын танигч эсвэл зориулалтын пулаас хаяг. Дараа нь сессийг шинж чанараар хязгаарла: гарц чинь буулгах үүрэгт Filter-Id, гацсан ажил хэдэн өдөр сесс барихын оронд дахин баталгаажуулах богино Session-Timeout, нөгөө талд галт хана хэрэглэдэг пулаас Framed-IP-Address. Аппликейшны зөвшөөрөл тусдаа хэвээр: өгөгдлийн сангийн сервер рүү туннель нь түүний доторх хүснэгтийг унших зөвшөөрөл биш.
Татгалзуудыг шалга, дараа нь зайлуулалтыг төлөвлө
Ажиллаж буй хандалт нь хамгийн бага эрхийн тухай юуг ч нотолдоггүй. Оронд нь татгалзуудыг туршиж үз: ажлын таних тэмдгээр холбогдож, жагсаалтаас гадуур очих газарт хүрэхийг оролд, гарц зөвхөн нэгийг зөвшөөрөх ёстой бол хоёр дахь зэрэгцээ сесс нээ, итгэмжлэлийг цуцалсны дараа нэвтрэлтийг давт.
Дараа нь мөнөөх сессийг хоёр газарт баталгаажуул. Гарцын бүртгэл баталгаажсан таних тэмдгийг харуулна; бодлогын серверийн бүртгэл аль бодлого тохирч, ямар шинж чанар буцаасныг харуулна. OpenVPN дээр сервер гэрчилгээний нийтлэг нэрийг бүртгэдэг бол strongSwan дээрх ipsec statusall ашиглагдаж буй таних тэмдэгтэйгээр тогтоосон туннелийг хэвлэнэ. Хоёр бүртгэл таних тэмдгийн талаар санал нийлэхгүй бол бодлого чинь таны таамаглаж буйгаас өөр зүйлд тохирч байна.
Зайлуулалт нь дизайны хэсэг бөгөөд цэвэрлэгээний спринт биш. Устгах ёстой бүгдийг бич (гэрчилгээ эсвэл бүртгэл, бүлгийн гишүүнчлэл, сүлжээний бодлого, пулын бичлэг, зорилт дээрх галт хананы дүрэм) бөгөөд ажлыг дахин бүтээхэд хялбар байхад нэг удаа ажиллуул.
Өнөөдөр эхэлж байгаа бол энэ дарааллаар ажилла: нөөцийн жагсаалтыг бич, таних тэмдгийг гурван нөхцөлөөр сонго, хязгаарыг бодлогод тавь, ажил ажиллаж эхлэхийн өмнө нэг татгалзыг дадлагажуул.