VPN гэрчилгээ LDAP хэсгийг хамгаалахгүй

Лавлахтай харьцуулан итгэмжлэлийг шалгадаг VPN нэвтрэлт нь хоёр тусдаа сүлжээний холболтыг агуулна. Хэрэглэгчийн гарц руу холбогдох холболт нь VPN-ийн өөрийн гэрчилгээ болон протоколын тохиргоогоор хамгаалагдсан. Гарцын лавлах руу холбогдох холболт нь өөрийн TLS тохиргоо, өөрийн итгэлцлийн сан, өөрийн алдааны горимтой өөр сесс. Эхнийх нь хоёр дахь тухай юу ч баталгаажуулахгүй.

Энэхүү тэгш бус байдал нь шифрлэгдсэн мэт харагдах боловч bind нууц үгийг илгээдэг нэвтрэлтийн механизм юм.

Хоёр холболт, хоёр итгэлцлийн шийдвэр

Гадаад сесс нь хэрэглэгчийн хардаг зүйл: VPN-ийн хост нэрэнд холбогдсон, клиентээр баталгаажсан, нэвтрүүлэх үйл явцын солилцоог зөөдөг гэрчилгээ. Дотоод сесс нь гарцын доторх лавлах клиентэд хамаарах бөгөөд тэр өөрийн холболтыг нээж, TLS-ийн талаар хэлэлцээ хийдэг эсвэл хийдэггүй. Тал бүр өөр тохиргооны файлаас авсан материалаар ярьж буй талыгаа баталгаажуулна. Буруу тохируулсан дотоод хэсэг нь хэрэглэгчийн талаас үл үзэгдэх хэвээр үлддэг, учир нь гадаад хэсэг нь яг төлөвлөсний дагуу ажилладаг.

Тиймээс алдаа нь чанга биш, чимээгүй байдаг. Лавлахын гэрчилгээг хэзээ ч шалгадаггүй гарц хэрэглэгчдийг зөв нэвтрүүлсээр байна; тэднийг шалгаагүй сувгаар л нэвтрүүлж байна.

StartTLS ба LDAPS, санаатай сонгосон

StartTLS нь энгийн LDAP хэлбэрээр нээгдэж, байрандаа шинэчлэгддэг, ихэвчлэн 389 порт дээр. LDAPS нь холболттойгоо хамт TLS эхлүүлдэг, ихэвчлэн 636 дээр. Хоёулаа хууль ёсны бөгөөд адаптер нь лавлахын санал болгож буйтай тохирох ёстой. StartTLS шаардах нь түүнийг туршиж, шинэчлэлт бүтэлгүйтэхэд үргэлжлүүлэхээс өөр, яг энэ ялгаанд bind нууц үг алдагдаж болно. Хатуу горимыг тохируулж, нууц үгтэй bind-д хамгаалалтгүй нөөц зам олгохгүй байх хэрэгтэй.

ldapsearch -H ldap://dc1.corp.example -ZZ -x -D "CN=VPN Bind,OU=Service Accounts,DC=corp,DC=example" -W -b "DC=corp,DC=example" "(sAMAccountName=example-user)" dn

-ZZ сонголт нь бүх асуудлын гол: асуулга шинэчлэлгүйгээр чимээгүй үргэлжлэхийн оронд бүтэлгүйтдэг. Тэр мөр дэх нэрс, бүртгэлүүд жишээ юм. OpenLDAP-ийн TLS баримт бичиг түүний ард байгаа итгэлцлийн тохиргоог хамарна.

LDAP клиент аль итгэлцлийн санг уншдаг вэ?

OpenLDAP клиентийн сан нь өөрийн итгэлцлийн тохиргоог уншдаг, энэ нь системийн файлаас эсвэл залгуурт хамаарах тохиргооноос байж болно. VPN-ийн CA заавар нь VPN түншүүдэд хамаарах бөгөөд LDAP сан ижил файлыг уншдаг гэдгийг нотлохгүй. Гэрчилгээний үнэхээр хамарч буй лавлахын хост нэрийг, мөн сан итгэдэг олгогчийн гинжийг ашиглана уу. Active Directory-д дэлгэцийн нэрнээс дүгнэхээс илүү зөв сервер нэвтрүүлэх хэрэглээтэй лавлах үйлчилгээний гэрчилгээг байрлуулна уу.

Алдааны үеийн нөөц чиглэл бүр ижил таних тэмдгийн бодлогыг хангах ёстой. Үндсэн нь баталгаажсан, хоёрдогч нь баталгаажаагүй орчин нь нөөцгүй орчныг бодвол дор, учир нь сул зам нь зөвхөн тасалдлын үед илэрдэг.

bind бүртгэл тусдаа асуудал хэвээр байна

Тээврийн хамгаалалт нь bind бүртгэлийн хийж болох зүйлийг бууруулдаггүй. Лавлах дахь хайлтын хүрээ, бүлгийн зөвшөөрөл, үйлчилгээний бүртгэлийн эрх нь тусдаа шийдвэр бөгөөд өргөн bind бүртгэл TLS идэвхжсэний дараа ч өргөн хэвээр байна. Интеграцид хэрэгтэй хамгийн нарийн үйлчилгээний бүртгэл болон хайлтын суурийг ашиглаж, төгсгөлийн цэг, TLS горим, итгэлцлийн эзэн, шинэчлэх үйл явцыг VPN тохиргоотой хамт бүртгэнэ үү.

Гэрчилгээний зөрүү гарвал зөв гэрчилгээ эсвэл гинжийг байрлуулна уу. Баталгаажуулалтыг идэвхгүй болгох нь харагдах зөрүүг үл үзэгдэх болгож, хоёр дахь итгэлцлийн харилцааг шалгаагүй үлдээнэ.

Хоёр холболт, хоёр эзэн, хоёр шинэчлэх огноо. Тэдгээрийг баримт бичигт тусдаа байлгах нь нэвтрэлтийг шударга байлгадаг.