Mendaftar Pengguna VPN: Cari Pemilik Identiti Dahulu

Seseorang meminta akses VPN, dan naluri pertama ialah menjalankan adduser pada pelayan. Naluri itu hanya betul dalam set penggunaan yang sempit. Sebelum mencipta apa-apa, buka konfigurasi pelayan dan ketahui produk mana yang berjalan di sana dan di mana ia mengesahkan bukti kelayakan, kerana akaun mungkin berada dalam pangkalan data produk, pada pembekal identiti atau dalam tindanan pengesahan hos itu sendiri. Mencipta jenis akaun yang salah meninggalkan orang itu dengan log masuk yang berfungsi tetapi tanpa terowong.

Profil klien yang menyebut OpenVPN menerangkan protokol, bukan sistem identiti di belakangnya.

Mulakan dengan pelayan, bukan adduser

Kenal pasti produk itu dahulu. Community OpenVPN ialah daemon serta apa-apa pengesahan yang anda sambungkan, manakala Access Server ialah produk dengan lapisan penggunanya sendiri. Minta konfigurasi, nama unit dan senarai pakej, dan periksa sama ada terdapat antara muka web untuk pengurusan pengguna. Kemudian lihat bagaimana profil yang digunakan menjangka klien membuktikan siapa mereka: sijil, nama pengguna dan kata laluan, atau kedua-duanya. Jawapan itu menamakan sistem yang memiliki akaun tersebut.

Hanya selepas itu frasa mencipta pengguna mempunyai makna. Dalam penggunaan yang hanya menggunakan sijil, ia bermaksud mengeluarkan identiti peranti melalui proses yang diluluskan, dan log masuk Unix tidak mengubah apa-apa. Dalam penggunaan kata laluan, ia bermaksud backend yang benar-benar mengesahkan kata laluan.

Empat backend, empat tempat untuk mencipta akaun

Pengesahan tempatan Access Server menyimpan akaun dalam pangkalan datanya sendiri, jadi antara muka untuk menciptanya milik produk, bukan hos. PAM mewakilkan pengesahan kepada tindanan sistem pengendalian, sebab itulah akaun Unix tempatan boleh menjadi bahagian pendaftaran apabila perkhidmatan memilih tindanan itu. LDAP, RADIUS dan SAML memindahkan pengesahan ke perkhidmatan luaran, tempat peruntukan, dasar kata laluan dan MFA berada. Access Server masih boleh menyimpan sijil dan kebenaran bagi setiap pengguna dalam keempat-empat kes, dan itulah yang menjadikan pemisahan ini mengelirukan.

Periksa kaedah berkesan untuk pengguna tertentu ini, bukan nilai lalai global. Access Server 2.10 dan seterusnya boleh menggunakan kaedah pengesahan berbeza bagi setiap kumpulan atau pengguna, jadi nilai lalai tempatan tidak membuktikan akaun di hadapan anda disahkan secara tempatan.

Hak ialah keputusan berasingan

Pengesahan menjawab siapa orang itu; hak menjawab apa yang boleh dicapainya. Kekalkan keduanya sebagai dua langkah, kerana log masuk yang berjaya bukan pemberian. Tetapkan laluan yang dimaksudkan, kebenaran sumber dan hak pentadbiran secara sengaja, dan sahkan akses yang tidak berkaitan kekal ditolak. Di mana penggunaan menyokong identiti individu, keluarkan satu bagi setiap orang dan bukannya memajukan profil orang lain, kerana profil bersama tidak boleh ditarik balik untuk seorang sahaja.

Bahan klien juga penting. Profil log masuk automatik dan log masuk pengguna interaktif mewakili hubungan pengesahan yang berbeza, dan menukar satu dengan yang lain mengubah apa yang sebenarnya disahkan oleh pelayan.

Menarik balik akses ialah sebahagian daripada pendaftaran

Catat tiga pemilik semasa pengguna dicipta: siapa yang mengesahkan akaun, siapa yang memberi kuasa akses VPN, dan peranti atau profil mana yang mewakili sambungan itu. Itu boleh menjadi tiga sistem berbeza, dan pelan pembatalan yang hanya menamakan satu daripadanya meninggalkan laluan terbuka. Apabila orang itu pergi, keluarkan hak daripada pemiliknya dan batalkan setiap bukti kelayakan yang dikeluarkan pada pemiliknya. Memadam fail yang dimuat turun bukan pembatalan, dan memadam entri tempatan juga bukan jika identiti luaran masih disahkan.

Kemudian uji pendaftaran seperti yang akan dilakukan penyerang: sambung sekali dengan identiti baharu, sahkan akses kepada sumber yang dimaksudkan, dan sahkan sumber yang tidak berkaitan masih menolak. Sambungan pertama yang berfungsi serta ujian negatif ialah pendaftaran yang lengkap.

Simpan rekod bersama profil tempat ia dimiliki. Juruaudit seterusnya akan bertanya siapa yang boleh menyambung dalam bulan tertentu, dan jawapannya ada pada ketiga-tiga pemilik itu.