VPN хэрэглэгчийг бүртгэх: эхлээд таних тэмдгийн эзнийг ол

Хэн нэгэн VPN-д нэвтрэх хүсэлт тавьж, эхний зөн совин нь сервер дээр adduser ажиллуулах байдаг. Энэ зөн совин зөвхөн явцуу байршуулалтад л зөв. Ямар нэгэн зүйл үүсгэхийн өмнө серверийн тохиргоог нээж, тэнд ямар бүтээгдэхүүн ажиллаж байгаа, нэвтрэх мэдээллийг хаана баталгаажуулдгийг олж мэдээрэй, учир нь бүртгэл нь бүтээгдэхүүний мэдээллийн санд, таних тэмдгийн нийлүүлэгчид эсвэл хост өөрийн баталгаажуулалтын стекэд байж болно. Буруу төрлийн бүртгэл үүсгэвэл хүн ажилладаг нэвтрэлттэй боловч туннельгүй үлдэнэ.

Клиент профайлд OpenVPN гэж бичсэн бол энэ нь протоколыг тодорхойлдог, түүний ардах таних тэмдгийн системийг биш.

adduser-ээс биш, серверээс эхэл

Эхлээд бүтээгдэхүүнийг тодорхойл. Community OpenVPN нь демон болон таны холбосон аливаа баталгаажуулалт, харин Access Server нь өөрийн хэрэглэгчийн давхаргатай бүтээгдэхүүн юм. Тохиргоо, unit-ийн нэр, багцын жагсаалтыг хүсэж, хэрэглэгчийн удирдлагад зориулсан вэб интерфэйс байгаа эсэхийг шалга. Дараа нь байршуулсан профайл клиентүүдээс хэн болохоо хэрхэн батлахыг хүлээж байгааг хар: гэрчилгээ, хэрэглэгчийн нэр, нууц үг эсвэл хоёулаа. Тэр хариулт бүртгэлийг эзэмшиж буй системийг нэрлэнэ.

Зөвхөн үүний дараа хэрэглэгч үүсгэх гэдэг хэллэг утгатай болно. Зөвхөн гэрчилгээтэй байршуулалтад энэ нь зөвшөөрөгдсөн процессоор төхөөрөмжийн таних тэмдэг олгохыг илэрхийлнэ, Unix нэвтрэлт юу ч өөрчлөхгүй. Нууц үгтэй байршуулалтад энэ нь нууц үгийг үнэхээр баталгаажуулдаг backend-ийг илэрхийлнэ.

Дөрвөн backend, бүртгэл үүсгэх дөрвөн газар

Access Server-ийн локал баталгаажуулалт бүртгэлүүдийг өөрийн мэдээллийн санд хадгалдаг тул тэдгээрийг үүсгэх интерфэйс нь хост биш, бүтээгдэхүүнд хамаарна. PAM баталгаажуулалтыг үйлдлийн системийн стекэд шилжүүлдэг, иймээс үйлчилгээ яг тэр стекийг сонгосон бол локал Unix бүртгэл нь бүртгэлийн нэг хэсэг байж болно. LDAP, RADIUS, SAML нь баталгаажуулалтыг гадаад үйлчилгээнд шилжүүлдэг бөгөөд тэнд бэлтгэл, нууц үгийн бодлого, MFA байдаг. Access Server дөрвөн тохиолдолд ч хэрэглэгч тус бүрийн гэрчилгээ, зөвшөөрлийг хадгалж чаддаг бөгөөд яг энэ нь хуваалтыг ойлгомжгүй болгодог.

Дэлхийн өгөгдмөл биш, энэ тодорхой хэрэглэгчид үйлчилж буй аргыг шалга. Access Server 2.10 ба дараах хувилбарууд бүлэг эсвэл хэрэглэгч тус бүрээр өөр баталгаажуулалтын арга хэрэглэж болох тул өгөгдмөл нь локал байх нь таны өмнөх бүртгэл локалаар баталгаажина гэдгийг батлахгүй.

Эрх бол тусдаа шийдвэр

Баталгаажуулалт хүн хэн болохыг, эрх нь түүний юунд хүрч болохыг хариулна. Амжилттай нэвтрэлт нь олголт биш тул эдгээрийг хоёр алхам гэж бариарай. Төлөвлөсөн маршрут, нөөцийн зөвшөөрөл, захиргааны эрхийг санаатайгаар олгож, холбоогүй нэвтрэлт татгалзагдсан хэвээр байгааг батал. Байршуулалт хувь хүний таних тэмдгийг дэмждэг газарт өөр хүний профайлыг дамжуулахын оронд хүн бүрт нэгийг олгож, учир нь хуваалцсан профайлыг ганц хүнд цуцалж болохгүй.

Клиентийн материал ч чухал. Автомат нэвтрэлтийн профайл ба интерактив хэрэглэгчийн нэвтрэлт нь өөр баталгаажуулалтын харилцааг илэрхийлж, нэгийг нөгөөгөөр солих нь серверийн үнэхээр юуг шалгадгийг өөрчилнө.

Нэвтрэлтийг цуцлах нь бүртгэлийн нэг хэсэг

Хэрэглэгч үүсэж байх үед гурван эзнийг тэмдэглэ: хэн бүртгэлийг баталгаажуулдаг, хэн VPN нэвтрэлтийг зөвшөөрдөг, аль төхөөрөмж эсвэл профайл холболтыг төлөөлдөг. Эдгээр нь гурван өөр систем байж болох бөгөөд тэдгээрийн зөвхөн нэгийг нэрлэсэн цуцлалтын төлөвлөгөө зам нээлттэй үлдээнэ. Хүн явахад эрхийг эзнээс нь хасч, олгосон бүх итгэмжлэлийг эзэн дээр нь цуцал. Татаж авсан файлыг устгах нь цуцлалт биш, гадаад таних тэмдэг хэвээр баталгаажиж байвал локал бичлэгийг устгах ч цуцлалт биш.

Дараа нь бүртгэлийг халдагч хийдэг шиг туршиж үз: шинэ таних тэмдгээр нэг удаа холбогдож, төлөвлөсөн нөөцөд нэвтрэлтийг батал, холбоогүй нөөц хэвээр татгалзаж байгааг батал. Ажиллаж буй эхний холболт ба сөрөг тест хамтдаа дууссан бүртгэл болно.

Бичлэгийг түүний харьяалагдах профайлтай хамт хадгал. Дараагийн аудитор тодорхой сард хэн холбогдож чадахыг асуух бөгөөд хариулт нь тэр гурван эзэнд байна.