Aċċess VPN b'kont tas-servizz: ċertifikat jew login kondiviż
Qabbel ċertifikat tal-magna ma' password maħżun għall-aċċess VPN mingħajr sorveljanza, u poġġi l-limitu reali tal-permessi fil-politika li taħdem wara l-login.
Żewġ disinji jkopru kważi kull konfigurazzjoni VPN mingħajr sorveljanza: login uman kondiviż miżmum fi script, jew ċertifikat tal-magna marbut mal-host. Huma jonqsu f'postijiet differenti, u dan huwa aktar importanti mill-veloċità tas-setup. Password maħżun jinqasam meta s-sid tiegħu jibdlu jew jitlaq; ċertifikat jinqasam meta jiskadi jew meta l-host jerġa' jinbena mingħajr il-key. Tliet kundizzjonijiet jiddeċiedu liema spiża tista' ġġorr, u l-ebda disinn ma jillimita xejn sakemm tagħmel hekk il-politika tal-awtorizzazzjoni.
Ibda mill-kompitu, mhux mill-kont
Il-kompitu jiddefinixxi l-limitu: liema destinazzjonijiet, liema servizzi, liema sigħat, kemm tista' ddum sessjoni. Rotta tat-tunnel hija biss nofs dak il-limitu. Il-gateway jiddeċiedi jekk is-sessjoni hix permessa; ir-riżors warajh jiddeċiedi x'jista' jagħmel is-sessjoni. Ikteb l-lista l-ewwel, b'sid imsemmi, għax iż-żewġ disinji tal-identità jridu jissodisfawha.
Żomm l-awtentikazzjoni u l-awtorizzazzjoni separati waqt li tikteb dan. L-awtentikazzjoni twieġeb min qed jgħaqqad; l-awtorizzazzjoni twieġeb x'jista' jasal is-sessjoni wara. RADIUS iġorr it-tieni parti bħala attributi bħal Filter-Id, Framed-IP-Address, Session-Timeout u Class, u l-gateway iżidhom mall- login jirnexxi. Disinn li jbiddel il-login u jħalli l-awtorizzazzjoni bla mittiefes ma llimita xejn.
Login uman kondiviż: il-password issir il-limitu
L-użu mill-ġdid ta' kont uman huwa l-eħfef triq u dak li jixjieħ l-agħar. Il-kredenzjali hija password, allura tispiċċa fi script, f'file tal-ambjent u f'konfigurazzjoni tal-iskedar, u kull kopja teħtieġ rotazzjoni. Meta s-sid jibdilha nhar il-Ġimgħa, il-kompitu jonqos fl-eżekuzzjoni li jmiss u ħadd mhu qed jara.
MFA huwa l-post fejn dan id-disinn normalment jiġġarraf. Script ma tistax twieġeb għal talba push, allura l-kont jiġi eskluż mill-politika, u dak huwa eżattament il-kont li jagħżel attakkant. Esklużjonijiet, bypass tal-post affidabbli u eżenzjonijiet għal kull kont jimmultiplikaw, u ħadd minnhom mhu viżibbli għall-persuna li jmiss li taqra s-settings tal-kerrej.
L-attribuzzjoni hija l-ispiża l-oħra. Kull sessjoni fil-log tal-gateway iġorr l-istess username, allura s-sinkronizzazzjoni bil-lejl ma tistax tiġi distinta mix-xogħol tal-persuna li kitbitha, u li tħassar il-kompitu jfisser li tħassar dik il-persuna.
Ċertifikat tal-magna: identità marbuta mal-host
Ċertifikat ibiddel il-mistoqsija minn dak li jaf il-kont għal dak li hu l-host. B'EAP-TLS il-klijent jippreżenta ċertifikat u jipprova l-pussess tal-private key li taqbel; is-server tal-politika jimmappa s-suġġett jew il-kont tal-kompjuter għal grupp u japplika l-politika għal dak il-grupp. L-ebda prompt, l-ebda sigriet kondiviż f'file tat-test.
Il-limitu li joħloq huwa eqreb minn dak li jistennew in-nies. Ċertifikat jawtentika l-host, mhux il-kompitu, u kull min għandu drittijiet ta' root jew amministratur lokali jista' juża dak il-key fuq dak il-host. Żomm il-key fejn il-pjattaforma tipproteġiha: mhux esportabbli fil-maħżen taċ-ċertifikati ta' Windows, appoġġjat minn TPM fejn il-profil jippermetti, jew file 0600 proprjetà ta' root fuq Linux. Il-kompromess tal-host huwa l-kompromess tal-kredenzjali.
L-iskadenza hija l-falliment rikorrenti. Ċertifikat li jiskadi nhar il-Ħadd iwaqqaf il-kompitu nhar il-Ħadd, u l-gateway normalment jirrapporta falliment ta' awtentikazzjoni ġeneriku minflok ma jsemmi d-data. Iċċekkja d-dati mill-host tal-kompitu bħala parti mir-runbook:
openssl x509 -in client.pem -noout -subject -issuer -dates
ipsec listcertsIt-tħassir jeħtieġ triq li l-gateway jiċċekkja. OpenVPN jaqra CRL permezz tal-għażla crl-verify, u strongSwan jiddependi fuq CRL jew OCSP skont kif inhu mibni l-profil tal-konnessjoni. Jekk l-ebda waħda mhix imqabbda, it-tneħħija ta' host tfisser li tistenna li ċ-ċertifikat jiskadi.
Tliet kundizzjonijiet li jiddeċiedu bejniethom
Agħmel il-paragun mal-pjattaforma li għandek, mhux ma' disinn ta' referenza.
L-ewwel kundizzjoni: jista' l-gateway jawtorizza identità tal-magna? Jekk biss jimmappa username RADIUS għal utent tad-direttorju, ċertifikat jawtentika l-host u mbagħad jieqaf fl-awtorizzazzjoni. It-tieni kundizzjoni: il-kompitu jeħtieġ aċċess għal riżors li jġorr biss kont tal-utent, bħal kondiviżjoni mmappjata jew liċenzja għal kull siġġu? Allura identità tal-magna ma tistax tissostitwixxi, u t-tweġiba onesta hija kont tal-utent iddedikat b'politika limitata. It-tielet kundizzjoni: min jista' jdur il-kredenzjali mingħajr persuna fil-loop? Reġistrazzjoni awtomatika tagħmel iċ-ċertifikati irħas biex jinżammu; password magħrufa minn persuna waħda le.
| Constraint | Machine certificate | Dedicated user account with stored secret |
|---|---|---|
| Unattended login | Private key proof, no prompt | Only if the account is exempted from MFA |
| Resource expects a user identity | Works only when the resource accepts computer accounts | Matches the access a person would have |
| Rotation | Re-enrollment, often automated | Secret change plus redeploy of every copy |
| Revocation speed | Tied to CRL or OCSP refresh | Disable the account, immediate |
Aqra t-tabella bħala lista ta' spejjeż, mhux bħala gradazzjoni. Il-kolonna tas-sigriet maħżun tirbaħ fil-veloċità tat-tħassir u fil-kompatibilità ma' riżorsi li jifhmu biss kontijiet tal-utent; il-kolonna taċ-ċertifikat tirbaħ fir-rotazzjoni u fil-fatt li ma tiddgħajjifx MFA biex taħdem script.
Poġġi l-limitu fil-politika, wara l-awtentikazzjoni
Liema identità tagħżel, il-limitu tal-permessi jappartjeni għall-politika li taħdem wara l-awtentikazzjoni. Fin-NPS il-politiki tan-netwerk jiġu evalwati fl-ordni u l-ewwel politika li taqbel ma' kull kundizzjoni tapplika s-settings tagħha, allura politika wiesgħa mqiegħda fuq waħda dejqa tiddeċiedi r-riżultat irrispettivament minn dak li jippreżenta l-klijent. Microsoft tiddokumenta l-mudell tal-kundizzjonijiet u s-settings fil- ħarsa ġenerali tal-politiki NPS.
Agħti lill-kompitu l-grupp jew il-kundizzjoni tal-politika tiegħu stess, ibbażata fuq xi ħaġa li ġġorr l-identità tal-magna: template taċ-ċertifikat, identifikatur tal-istazzjon li jċempel, jew indirizz minn pool iddedikat. Imbagħad illimita s-sessjoni b'attributi: Filter-Id għar-rwol li l-gateway tiegħek jimmappaha għalih, Session-Timeout qasir biex kompitu mblukkat jerġa' jawtentika minflok iżomm sessjoni għal ġranet, u Framed-IP-Address minn pool li tagħmel firewall fuqu fuq in-naħa l-oħra. L-awtorizzazzjoni tal-applikazzjonijiet tibqa' separata: tunnel lejn server tad-database mhux permess li taqra tabella ġewwa fih.
Ivverifika ċ-ċaħdiet, imbagħad ippjana t-tneħħija
Aċċess li jaħdem ma jipprova xejn dwar l-inqas privileġġ. Iċċekkja ċ-ċaħdiet minflok: qabbad bl-identità tal-kompitu u pprova tasal destinazzjoni barra mil-lista, iftaħ it-tieni sessjoni simultanja jekk il-gateway għandu jippermetti waħda biss, u erġa' għamel il-login wara li tħassar il-kredenzjali.
Imbagħad ikkonferma l-istess sessjoni f'żewġ postijiet. Il-log tal-gateway juri l-identità li ġiet awtentikata; il-log tas-server tal-politika juri liema politika qablet u liema attributi rritornat. Fuq OpenVPN is-server jirreġistra l-isem komuni taċ-ċertifikat, u ipsec statusall fuq strongSwan jistampa t-tunnel stabbilit bl-identità li qed tintuża. Jekk iż-żewġ logs ma jaqblux dwar l-identità, il-politika qed taqbel ma' xi ħaġa differenti minn dak li tassumi.
It-tneħħija hija parti mid-disinn, mhux sprint ta' tindif. Ikteb kollox li għandu jitħassar (ċertifikat jew kont, sħubija fil-grupp, politika tan-netwerk, entrata fil-pool, regola tal-firewall fuq il-mira) u eżegwiha darba waqt li l-kompitu huwa faċli biex jinbena mill-ġdid.
Jekk qed tibda llum, aħdem f'dan l-ordni: ikteb il-lista tar-riżorsi, agħżel l-identità bit-tliet kundizzjonijiet, poġġi l-limitu fil-politika, u pprattika ċaħda waħda qabel il-kompitu jidħol fis-servizz.