Migrazzjoni ta' backend tal-awtentikazzjoni VPN mingħajr użu mill-ġdid ta' hashes antiki
It-tmexxija tal-identitajiet VPN hi qatgħa, mhux kopja: immappja l-katina tal-awtentikazzjoni, mexxi korte pilota, ipprova l-bidliet fil-kredenzjali u pplanifika rkupru li reset ma jistax iħassar.
L-ismijiet tal-utenti jidhru fid-direttorju l-ġdid, il-migrazzjoni tiġi ddikjarata mitmuma, u d-dħul xorta jibqa' jonqos. Il-gateway għadu jeħtieġ mogħdija ta' awtentikazzjoni appoġġjata u riżultat korrett ta' awtorizzazzjoni, u l-ebda waħda ma tiġi minn direttorju li issa fih il-kontijiet. Tmexxija ta' backend hi qatgħa b'ċiklu tal-ħajja, mhux xogħol ta' kopja. Is-sintomu hawn taħt hu dak li normalment juri d-differenza.
Is-sintomu: il-kontijiet jeżistu, is-sessjonijiet le
Id-direttorju l-ġdid fih kull isem tal-utent, bind tat-test jirnexxi, u l-klijent VPN xorta jirritorna falliment tal-awtentikazzjoni. Din il-kombinazzjoni tfisser li l-identità teżisti, iżda l-mogħdija tal-verifika li tuża l-gateway ma tasalx għaliha, jew tasal b'metodu li ma tistax tissodisfa. It-tnejn huma konfigurazzjoni, u huma problemi differenti.
L-ewwel waħda hi plaming: il-gateway tindika backend li ma jweġibx, tuża sigriet maqsum li n-naħa l-oħra ma tistenniex, jew titlob attribut li s-servizz il-ġdid ma jirritornax. It-tieni waħda hi kriptografika: il-metodu jeħtieġ is-sigriet oriġinali, u l-maħżen il-ġdid iżomm biss hash tiegħu. It-test tal-iżball jidher simili fiż-żewġ każijiet, u għalhekk it-tnejn jiġu trattati bħala problema waħda.
Is-separazzjoni tat-tnejn qabel ma jintmissu l-kontijiet tfaddal ġimgħa. Waħda hi kwistjoni ta' routing u fiduċja, l-oħra hi deċiżjoni dwar reset tal-kredenzjali, u t-taħlit tagħhom jipproduċi bidliet li ħadd ma jista' jattribwixxi.
Immappja l-katina qabel ma tmexxi lil ħadd
Ikteb sitt affarijiet għal kull profil tal-klijent: il-metodu tal-awtentikazzjoni ta' barra, kwalunkwe metodu ta' ġewwa, l-identità tas-server li jistenna l-klijent, l-interface bejn il-gateway u l-backend, l-attribut li l-gateway jimmapja għas-sħubija fil-grupp, u l-politika tar-riżorsi li tirriżulta. Li taqrahom fl-ordni juri liema ħolqa m'għandhiex sid. Kull element għandu responsabbli, u l-qatgħa tonqos f'dak li ħadd ma vverifika.
| Link | Question it answers |
|---|---|
| Client profile | Which method and server name does the client use? |
| Inner method | Is there a second authentication step? |
| Server identity | Which certificate or name must the client accept? |
| Gateway to backend | Which protocol, port and shared secret? |
| Attribute mapping | Which returned value becomes group membership? |
| Resource policy | What the resulting session may reach |
Dħul ordinarju fid-direttorju ma jgħaddi kważi xejn minn dik il-katina. Juri li l-kont jeżisti u li l-password taħdem, jiġifieri eżatt il-parti li qatt ma kienet dubjuża.
Il-hashes ma jivvjaġġawx bejn il-metodi
Il-kompatibilità tal-kredenzjali trid tiġi vverifikata darba, qabel ma tmexxi xi korte. FreeRADIUS jiddokumenta s-separazzjoni b'mod ċar: verifika CHAP li s-server jagħmel hu stess teħtieġ il-password reali, u MS-CHAP jaċċetta dik il-password jew materjal NT xieraq. Hash magħmul għal skop ieħor ma jaqbilx ma' ebda każ, kemm ikun b'saħħtu.
Id-distinzjoni hi dwar min jikkalkula l-prova. Metodu li jivverifika billi jorbot mad-direttorju jħalli d-direttorju jivverifika dak li jista' jivverifika. Metodu li jivverifika billi jerġa' jikkalkula tweġiba għall-isfida jeħtieġ is-sigriet innifsu, għax is-server irid jagħmel l-istess kalkolu.
Fejn il-materjal jonqos, l-għażliet onesti huma reset appoġġjat, re-enrollment, servizz ta' verifika estern jew bidla ta' metodu. Esportazzjoni temporanja ta' passwords rekuperabbli mhijiex fuq dik il-lista. Toħloq maħżen ta' kredenzjali f'test ċar fl-aktar ġimgħa kaotika tal-proġett, u normalment tgħix wara l-migrazzjoni.
Korte pilota, imbagħad bidliet fiċ-ċiklu tal-ħajja
Mexxi korte żgħira ta' identitajiet approvati mal-klijent reali, u pprova erba' affarijiet: dħul ġdid, kredenzjali intenzjonalment żbaljata, ir-riżorsi li s-sessjoni tista' tilħaq, u r-riżorsi li m'għandhiex tilħaq. Iċċekkja wkoll l-identità tas-server li aċċetta l-klijent, għax nuqqas ta' qbil fl-isem taċ-ċertifikat hu inviżibbli sakemm xi ħadd jaqra l-log tal-klijent.
Imbagħad ipprattika l-bidliet li l-implimentazzjoni tiddependi minnhom tassew. Ibdel password, ġedded jew erġa' irreġistra ċertifikat, u neħħi l-aċċess minn kont pilota wieħed. Wara kull wieħed, ikkonferma liema verifikatur ittratta l-attentat, għax sessjoni maħluqa qabel il-qatgħa tista' tibqa' taħdem u ma tipprovax xejn dwar id-dħul li jmiss.
Issepara l-kunsinna tal-profil mill-bidla tal-identità. Kull korte teħtieġ il-profil maħsub tagħha, l-istat tal-kredenzjali jew tal-enrollment, is-servizz tal-awtentikazzjoni li għandha tuża u kuntatt ta' appoġġ, u ħadd minn dawn ir-rekords m'għandu jkun fih sigriet.
Jekk il-mogħdijiet antika u ġdida jeżistu flimkien, illimitalhom b'data ta' tmiem. Fallback awtomatiku jista' jdaħħal kont permezz ta' kredenzjali antika wara li s-sid il-ġdid neħħa l-aċċess, u dan hu rigressjoni tas-sigurtà moħbija bħala disponibbiltà.
Ir-rollback ma jistax jirrestawra kredenzjali
It-treġġigħ lura tal-qatgħa jħalli d-direttorju eżatt kif inhu issa. Password reset tibqa' reset, ċertifikat revokat jibqa' revokat, u format ta' kredenzjali mibdul jibqa' mibdul. Dawn huma avvenimenti fid-direttorju, u l-gateway qatt ma kien is-sors tagħhom. L-irkupru jrid jiġi definit għal kull avveniment, u xejn minn dan ma jista' jiddependi milli jerġa' jinbena sigriet minn hash inkompatibbli.
Żomm mogħdija amministrattiva li ma tużax il-konnessjoni li qed tiġi mmigrata. Meta l-awtentikazzjoni l-ġdida tonqos, ippawża l-korte u uża l-mogħdija tal-irkupru dokumentata tagħha minflok ma ddgħajjef l-awtentikazzjoni għal kulħadd biex iżżomm skadenza.
Wara li l-korti jkunu koperti, irtira l-kredenzjali, il-profili u r-relazzjonijiet ta' fiduċja antiki tal-backend permezz tas-sidien tagħhom. Ikkonferma li l-mogħdija antika ma tibqax tdaħħal utenti, u żomm il-mapping tal-identità għall-politika mingħajr sigrieti li l-appoġġ għadu jeħtieġ. Migrazzjoni tintemm meta ċ-ċiklu tal-ħajja l-ġdid jaħdem u ħadd ma jidħol aktar mill-mogħdija antika, mhux meta l-lista tal-kontijiet tidher kompleta.