Хоёр нэвтрэх шалгалт нь хоёр хүчин зүйл биш: VPN ба RADIUS

VPN гарцанд хоёр дахь баталгаажуулалтын backend нэмэх нь хоёр дахь хүчин зүйл нэмж байгаа мэт санагддаг. Ихэвчлэн энэ нь хоёр дахь шалгалт нэмдэг бөгөөд энэ нь өөр бүтэлгүйтлийн горимтой өөр объект юм. Хоёулаа амжилттай байх ёстой эсэх, тус бүр юуг нотолж байгаа, нэг нь боломжгүй үед юу болох нь гурван тусдаа шийдвэр юм. Алдвал гарц үзүүлбэрт илүү хатуу, тасалдлын үед илүү сул болно.

Хоёр дахь backend үнэндээ юуг нотолдог вэ

Локал бүртгэлээс хайх нь нэр өгөгдлийн санд байгаа, нууц үг түүнд тохирсныг нотолдог. RADIUS солилцоо нь RADIUS сервер хүлээн авсан шинж чанаруудад Access-Accept буцаасныг нотолдог. Аль ч мэдэгдэл хүчин зүйлийн төрлийг дурдаагүй, учир нь хоёулаа мэдлэгийг шалгадаг. Мөн NIST-ийн дижитал таних тэмдгийн удирдамж өөр өөр хүчин зүйлийн төрөл болон тэдгээрийн баталгаажуулагчийг тоолдог, сервер эсвэл сануулгыг биш.

Хоёр систем оролцдог хууль ёсны загвар бий. Төв үйлчилгээ хүнийг баталгаажуулж чаддаг бол гарц нь тухайн бүртгэл энэ туннельд эрхтэй эсэхийг бие даан шалгадаг. Энэ бол баталгаажуулалтын хажууд байгаа зөвшөөрөл бөгөөд үүнийг хоёр хүчин зүйл гэж нэрлэх нь бодлогын шалгалтыг эзэмшлийн нотолгоотой хольдог.

RADIUS нэгийг баталгаажуулдаг зүйлийн урд зогсох үед жинхэнэ хоёр дахь хүчин зүйлийг авч явж чадна, жишээ нь push зөвшөөрөл эсвэл техник хангамжийн токен. Дугана хэрэглэгч ямар баталгаажуулагч үзүүлснийг хэлдэггүй, тиймээс гарцын шошгыг биш, backend-ийн бодлогыг уншина уу.

AND, OR болон нөөц нь өөр өөр бүтээгдэхүүн

Хэрэгжүүлэлтүүдийг харьцуулахын өмнө шаардлагад тань хоёулаа гэдэг нь юу гэсэн үг болохыг шийдээрэй. AND бодлого нь нэрлэсэн бүх шалгалтыг давна гэж шаарддаг, OR бодлого амжилттай болсоныг хүлээн авдаг, нөөц нь хоёр дахьыг зөвхөн зарласан бүтэлгүйтлийн нөхцөлд туршдаг. Эдгээр гурав тасалдлын үед эсрэгээр ажилладаг бөгөөд ихэвчлэн зөвхөн нэг нь хяналт гэж үзсэн зүйл юм.

Тохиргооны дэлгэцэд хоёр backend оруулга нэмэх нь бүтээгдэхүүн ямар бодлого хэрэгжүүлж байгааг илрүүлэхгүй. Зарим гарц залгаасуудыг дараалан холбож, эхний татгалзалд зогсдог бөгөөд энэ нь залгаас бүр заавал байх үед л AND юм. Бусад нь локал бүртгэлийг дарж бичих гэж үздэг бөгөөд энэ нь төвийн тасалдлыг тойрч гарах болгоно. Найдвартай хариулт бол таны байршуулах build-ийн эсрэг гүйцэтгэсэн, зам бүрийн баримтжуулсан сөрөг тест юм.

Нөөц нь хамгийн их сэжиг хүртэх ёстой, учир нь ямар нэгэн зүйл эвдэрсэн үед ажлыг үргэлжлүүлэхийн тулд оршдог. RADIUS хүрэхгүй бүрт локал нууц үгийг хүлээн авдаг нөөц нь төвийн бодлогыг хоёр дахь, илүү сул хаалга болгож хувиргасан.

OpenVPN-ийн давхар шалгалт бол тодорхой тохиолдол

Нийгэмлэгийн OpenVPN 2.6 хоёулаа идэвхтэй үед клиент гэрчилгээ болон тохируулсан auth-user-pass-verify скриптийг хоёуланг нь шаарддаг. Энэ нь гэрчилгээний шалгалт болон итгэмжлэлийн скриптийн хоорондох баримтжуулсан AND бөгөөд үнэхээр хоёр шалгалт юм. Гэсэн хэдий ч энэ нь автоматаар хоёр төрлийн хүчин зүйл биш, учир нь скрипт зөвхөн нууц үгийг баталгаажуулж болно.

Хослол нь холбоосын асуултыг ч нээлттэй үлдээдэг. Гэрчилгээ нь ихэвчлэн төхөөрөмжийг тодорхойлдог бол итгэмжлэл хүнийг тодорхойлдог бөгөөд өгөгдмөл урсгалд хоёулаа нэг субьектэд хамаарахыг шаарддаг зүйл байхгүй. Ямар хосуудыг зөвшөөрөхийг шийдэж, дараа нь тэр зураглалыг шалгалтын скрипт дотор эсвэл дараагийн зөвшөөрлийн алхамд хэрэгжүүлээрэй.

Зөвхөн гэрчилгээний горим нь нэг шалгалт бөгөөд PIN-ээр хамгаалагдсан эсэх нь тодорхойгүй түлхүүрээр дэмжигддэг. PIN нь ижил итгэмжлэлийг мэдлэг нэмэх эзэмшил болгох нь зөвхөн түлхүүрийг түүнгүйгээр ашиглах боломжгүй үед л болно. Түлхүүрийг дискэн дээр шифрлэхгүй үлдээх нь хоёр дахь хэсгийг файлын зөвшөөрөл болгон хумина.

Төхөөрөмжийн үйлдвэрлэгчид өөрсдийн хоолойг барьдаг, ихэвчлэн вэб консолын ард PAM модуль эсвэл RADIUS залгаас. Нийгэмлэгийн зан төлөв нь давхар шалгалт хэрхэн харагдах талаарх лавлагаа бөгөөд төхөөрөмж тэдгээрийг хэрхэн нэгтгэдэг тухай тайлбар биш.

Хослолыг өөрийн гарцан дээр шалгана уу

Консолын хураангуйд итгэхээс өмнө тохиргоог уншина уу. Бодлогыг тодорхойлдог мөрүүд нь гэрчилгээний горим, итгэмжлэлийн скрипт болон залгаасын дараалал юм.

grep -E 'verify-client-cert|auth-user-pass-verify|plugin' /etc/openvpn/server.conf
openssl x509 -in /etc/openvpn/pki/issued/client01.crt -noout -subject -serial
radtest alice 'wrong-password' 127.0.0.1 0 testing123

grep нь гэрчилгээ шаардлагатай эсэх, дараа нь ямар скрипт ажиллахыг харуулдаг бөгөөд дараалал нь нэрнээс илүү чухал. Гэрчилгээний дамп нь гарцын харах таних тэмдгийг өгдөг, үүнд холбоосын зураглалд хэрэгтэй CN болон серийн дугаар багтана. RADIUS тест нь сөрөг тохиолдол: буруу нууц үг Access-Reject, зөв нь Access-Accept өгөх ёстой. Хэрэв татгалзсан итгэмжлэл одоо ч сесс өгч байвал скрипт баталгаажуулалтын замд огт байхгүй.

Дараа нь лабораторийн хувилбар дээр тасалдлын тохиолдлыг ажиллуулна уу: шаардлагатай backend-ийг зогсоож, хүчинтэй итгэмжлэлээр холбогдоно уу. Хүлээгдэж буй үр дүн нь татгалзал бөгөөд бусад бүхэн нь хэн ч баримтжуулаагүй нөөц бодлого юм.

Шаардлагыг сөрөг тохиолдлууд хэлбэрээр бичнэ үү

Хэрэглэх боломжтой шаардлага нь нотолгоо, тэдгээрийг танилцуулах эрхтэй бүртгэлүүд болон шалгагч байхгүй үеийн үр дүнг нэрлэдэг. Мөн төхөөрөмжийн таних тэмдэг болон хүний таних тэмдгийн хоорондын зөвшөөрөгдсөн хослолыг заадаг. Энэ нь худалдан авалтын захиалга дээрх бүтээгдэхүүний нэрнээс илүү нарийвчлалтай бөгөөд шалгаж болно.

Хүлээн авалт дөрвөн татгалзалыг агуулсан байх ёстой: тохиромжгүй локал бүртгэл, дутуу заавал нотолгоо, хүчингүй хоёр дахь хүчин зүйл, хүрэхгүй заавал backend. Татгалзал бүрд бусадтай ялгаруулах лог мөр хэрэгтэй, тэгэхгүй бол дараагийн тохиолдол таамаглалаар эхэлнэ. Аль компонент ямар шийдвэр гаргасныг тэмдэглээрэй, учир нь гарц, RADIUS сервер, лавлах нь бие биенийг буруутгана.

Залгаас эсвэл firmware-ийн аливаа өөрчлөлтийн дараа дөрвөн татгалзалыг дахин ажиллуулна уу. Тэд хямд бөгөөд тэдний хамгаалж буй бодлого нь халдагчийн хамгийн түрүүнд шалгах хэсэг юм.