सेवा खाताको VPN पहुँच: प्रमाणपत्र वा साझा लगइन
अनुगमन नगरिएको VPN पहुँचका लागि मेसिन प्रमाणपत्रलाई भण्डारण गरिएको पासवर्डसँग तुलना गर्नुहोस्, र लगइनपछि चल्ने नीतिमा वास्तविक अनुमति सीमा राख्नुहोस्।
लगभग हरेक अनुगमन नगरिएको VPN सेटअपलाई दुई डिजाइनले ढाक्छन्: स्क्रिप्टमा राखिएको साझा मानवीय लगइन, वा होस्टमा बाँधिएको मेसिन प्रमाणपत्र। तिनीहरू फरक ठाउँमा असफल हुन्छन्, र त्यो सेटअपको गतिभन्दा बढी महत्त्वपूर्ण छ। भण्डारण गरिएको पासवर्ड यसको मालिकले बदल्दा वा गएपछि टुट्छ; प्रमाणपत्र यसको म्याद सकिँदा वा कुञ्जी बिना होस्ट पुनर्निर्माण हुँदा टुट्छ। तपाईं कुन लागत बहन गर्न सक्नुहुन्छ भन्ने तीन सर्तले निर्धारण गर्छन्, र अनुमति नीतिले नगरेसम्म कुनै पनि डिजाइनले केही सीमित गर्दैन।
खाताबाट होइन, कामबाट सुरु गर्नुहोस्
कामले सीमा तय गर्छ: कुन गन्तव्य, कुन सेवा, कुन घण्टा, सत्र कति समय चल्न सक्छ। सुरुङ मार्ग त्यो सीमाको आधा मात्र हो। गेटवेले सत्रलाई अनुमति छ कि छैन भन्ने निर्णय गर्छ; यसको पछाडिको स्रोतले सत्र के गर्न सक्छ भन्ने निर्णय गर्छ। पहिले सूची लेख्नुहोस्, नाम दिइएको मालिकसहित, किनकि दुवै पहिचान डिजाइनले त्यो पूरा गर्नुपर्छ।
लेख्दा प्रमाणीकरण र अनुमति छुट्टै राख्नुहोस्। प्रमाणीकरणले को जोडिन्छ भन्ने जवाफ दिन्छ; अनुमतिले सत्र पछि कहाँसम्म पुग्न सक्छ भन्ने जवाफ दिन्छ। RADIUS दोस्रो भाग Filter-Id, Framed-IP-Address, Session-Timeout र Class जस्ता विशेषताका रूपमा बोक्छ, र लगइन सफल भएपछि गेटवेले ती जोड्छ। लगइन बदलेर अनुमतिलाई नछोइकन छोड्ने डिजाइनले केही पनि सीमित गरेको छैन।
साझा मानवीय लगइन: पासवर्ड नै सीमा बन्छ
मानवीय खाता पुनः प्रयोग गर्नु सबैभन्दा छिटो बाटो र सबैभन्दा नराम्रोसँग पुरानो हुने बाटो हो। प्रमाण-पत्र पासवर्ड हो, त्यसैले यो स्क्रिप्ट, वातावरण फाइल र तालिकाकार कन्फिगमा पुग्छ, र हरेक प्रतिलाई घुमाइ चाहिन्छ। मालिकले शुक्रबार यो बदल्दा अर्को पटक काम असफल हुन्छ र कसैले हेर्दैन।
MFA त्यही ठाउँ हो जहाँ यो डिजाइन प्रायः भत्किन्छ। स्क्रिप्टले push अनुरोधको जवाफ दिन सक्दैन, त्यसैले खाता नीतिबाट बाहिर राखिन्छ, र त्यो ठ्याक्कै त्यही खाता हो जुन आक्रमणकारीले छान्छ। अपवाद, विश्वसनीय स्थान बाइपास र प्रति-खाता छुट थपिँदै जान्छन्, र तीमध्ये कुनै पनि भाडावालको सेटिङ पढ्ने अर्को व्यक्तिलाई देखिँदैन।
श्रेय अर्को लागत हो। गेटवे लगको हरेक सत्रले एउटै प्रयोगकर्ता नाम बोक्छ, त्यसैले रातको सिङ्कलाई यो लेख्ने व्यक्तिको कामबाट छुट्याउन सकिँदैन, र काम रद्द गर्नु भनेको त्यो व्यक्ति रद्द गर्नु हो।
मेसिन प्रमाणपत्र: होस्टमा बाँधिएको पहिचान
प्रमाणपत्रले प्रश्नलाई खातालाई के थाहा छ भन्नेबाट होस्ट के हो भन्नेमा बदल्छ। EAP-TLS मा ग्राहकले प्रमाणपत्र प्रस्तुत गर्छ र मिल्ने निजी कुञ्जीको स्वामित्व प्रमाणित गर्छ; नीति सर्भरले विषय वा कम्प्युटर खातालाई समूहमा म्याप गर्छ र त्यो समूहको नीति लागू गर्छ। कुनै अनुरोध छैन, पाठ फाइलमा बसेको कुनै साझा रहस्य छैन।
यसले बनाउने सीमा मानिसहरूले अपेक्षा गरेभन्दा साँघुरो हुन्छ। प्रमाणपत्रले होस्टको प्रमाणीकरण गर्छ, कामको होइन, र root वा स्थानीय प्रशासक अधिकार भएको जो कोहीले त्यो होस्टमा त्यो कुञ्जी प्रयोग गर्न सक्छ। कुञ्जी त्यहाँ राख्नुहोस् जहाँ प्लेटफर्मले यसको संरक्षण गर्छ: Windows प्रमाणपत्र भण्डारमा निर्यात नहुने, प्रोफाइलले अनुमति दिएको ठाउँमा TPM-समर्थित, वा Linux मा root-स्वामित्वको 0600 फाइल। होस्टको सम्झौता भनेको प्रमाण-पत्रको सम्झौता हो।
म्याद सकिनु भनेको दोहोरिने असफलता हो। आइतबार म्याद सकिने प्रमाणपत्रले आइतबार काम रोक्छ, र गेटवेले सामान्यतया मिति नभनी सामान्य प्रमाणीकरण असफलता जनाउँछ। कामको होस्टबाट मितिहरू runbook को भागका रूपमा जाँच्नुहोस्:
openssl x509 -in client.pem -noout -subject -issuer -dates
ipsec listcertsरद्द गर्न गेटवेले जाँच्ने बाटो चाहिन्छ। OpenVPN crl-verify विकल्पमार्फत CRL पढ्छ, र strongSwan जडान प्रोफाइल कसरी बनेको छ त्यसअनुसार CRL वा OCSP मा निर्भर हुन्छ। दुवै जोडिएका छैनन् भने होस्ट हटाउनु भनेको प्रमाणपत्रको म्याद सकिने प्रतीक्षा गर्नु हो।
तीन सर्त जसले तिनीहरूबीच निर्णय गर्छन्
तुलना तपाईंसँग भएको प्लेटफर्मसँग गर्नुहोस्, सन्दर्भ डिजाइनसँग होइन।
पहिलो सर्त: गेटवेले मेसिन पहिचानलाई अनुमति दिन सक्छ? यदि यसले RADIUS प्रयोगकर्ता नामलाई निर्देशिका प्रयोगकर्तामा मात्र म्याप गर्छ भने प्रमाणपत्रले होस्ट प्रमाणीकरण गर्छ र त्यसपछि अनुमतिमा अड्किन्छ। दोस्रो सर्त: कामलाई प्रयोगकर्ता खाताले मात्र बोक्ने स्रोत पहुँच चाहिन्छ, जस्तै म्याप गरिएको साझेदारी वा प्रति-सिट इजाजतपत्र? त्यसो भए मेसिन पहिचानले प्रतिस्थापन गर्न सक्दैन, र इमानदार जवाफ सीमित नीतिसहितको समर्पित प्रयोगकर्ता खाता हो। तेस्रो सर्त: चक्रमा मानिस बिना प्रमाण-पत्र को घुमाउन सक्छ? स्वचालित दर्ताले प्रमाणपत्र राख्न सस्तो बनाउँछ; एक व्यक्तिले जानेको पासवर्डले होइन।
| Constraint | Machine certificate | Dedicated user account with stored secret |
|---|---|---|
| Unattended login | Private key proof, no prompt | Only if the account is exempted from MFA |
| Resource expects a user identity | Works only when the resource accepts computer accounts | Matches the access a person would have |
| Rotation | Re-enrollment, often automated | Secret change plus redeploy of every copy |
| Revocation speed | Tied to CRL or OCSP refresh | Disable the account, immediate |
तालिकालाई क्रम नभई लागतको सूचीका रूपमा पढ्नुहोस्। भण्डारण गरिएको रहस्यको स्तम्भ रद्द गर्ने गतिमा र प्रयोगकर्ता खाता मात्र बुझ्ने स्रोतसँगको अनुकूलतामा जित्छ; प्रमाणपत्रको स्तम्भ घुमाइमा र स्क्रिप्ट चलाउन MFA कमजोर नबनाउनुमा जित्छ।
सीमा नीतिमा राख्नुहोस्, प्रमाणीकरणपछि
तपाईंले कुनै पनि पहिचान छान्नुभए पनि, अनुमतिको सीमा प्रमाणीकरणपछि चल्ने नीतिमा पर्छ। NPS मा सञ्जाल नीतिहरू क्रममा मूल्याङ्कन गरिन्छ र हरेक सर्तसँग मिल्ने पहिलो नीतिले आफ्ना सेटिङ लागू गर्छ, त्यसैले साँघुरो नीतिमाथि राखिएको फराकिलो नीतिले ग्राहकले जे प्रस्तुत गरे पनि नतिजा तय गर्छ। Microsoft ले सर्त र सेटिङको ढाँचा आफ्नो NPS नीति अवलोकनमा।
कामलाई यसको आफ्नै समूह वा नीति सर्त दिनुहोस्, मेसिन पहिचानले बोक्ने कुनै कुरामा आधारित: प्रमाणपत्र टेम्प्लेट, कल गर्ने स्टेशन पहिचानकर्ता, वा समर्पित पूलको ठेगाना। त्यसपछि विशेषताले सत्र सीमित गर्नुहोस्: तपाईंको गेटवेले म्याप गर्ने भूमिकाका लागि Filter-Id, अड्किएको काम दिनौंसम्म सत्र नराखी पुनः प्रमाणीकरण गर्न छोटो Session-Timeout, र अर्को छेउमा तपाईंले फायरवाल लगाउने पूलबाट Framed-IP-Address। अनुप्रयोग अनुमति छुट्टै रहन्छ: डेटाबेस सर्भरसम्मको सुरुङ त्यसभित्रको तालिका पढ्ने अनुमति होइन।
अस्वीकृति जाँच्नुहोस्, त्यसपछि हटाउने योजना बनाउनुहोस्
काम गर्ने पहुँचले न्यूनतम विशेषाधिकारबारे केही प्रमाणित गर्दैन। बरु अस्वीकृतिहरू परीक्षण गर्नुहोस्: कामको पहिचानसँग जोडिनुहोस् र सूचीबाहिरको गन्तव्यमा पुग्न प्रयास गर्नुहोस्, गेटवेले एउटालाई मात्र अनुमति दिनुपर्ने हो भने दोस्रो समवर्ती सत्र खोल्नुहोस्, र प्रमाण-पत्र रद्द गरेपछि लगइन दोहोर्याउनुहोस्।
त्यसपछि त्यही सत्रलाई दुई ठाउँमा पुष्टि गर्नुहोस्। गेटवे लगले प्रमाणीकृत पहिचान देखाउँछ; नीति सर्भरको लगले कुन नीति मिल्यो र कुन विशेषता फर्काए देखाउँछ। OpenVPN मा सर्भरले प्रमाणपत्रको सामान्य नाम रेकर्ड गर्छ, र strongSwan मा ipsec statusall ले प्रयोगमा रहेको पहिचानसहित स्थापित सुरुङ छाप्छ। दुई लग पहिचानबारे सहमत नभए, नीति तपाईंले अनुमान गरेभन्दा फरक कुरासँग मिलिरहेको छ।
हटाउनु डिजाइनको भाग हो, सफाइ स्प्रिन्टको होइन। मेटाउनुपर्ने सबै लेख्नुहोस् (प्रमाणपत्र वा खाता, समूह सदस्यता, सञ्जाल नीति, पूल प्रविष्टि, लक्ष्यमा फायरवाल नियम) र काम पुनर्निर्माण गर्न सजिलो हुँदा एक पटक चलाउनुहोस्।
आज सुरु गर्दै हुनुहुन्छ भने, यो क्रममा काम गर्नुहोस्: स्रोत सूची लेख्नुहोस्, तीन सर्तले पहिचान छान्नुहोस्, नीतिमा सीमा राख्नुहोस्, र काम सुरु हुनुअघि एक अस्वीकृतिको अभ्यास गर्नुहोस्।