ਸੇਵਾ ਖਾਤੇ ਲਈ VPN ਪਹੁੰਚ: ਸਰਟੀਫਿਕੇਟ ਜਾਂ ਸਾਂਝਾ ਲੌਗਇਨ
ਬਿਨਾਂ ਨਿਗਰਾਨੀ ਵਾਲੀ VPN ਪਹੁੰਚ ਲਈ ਮਸ਼ੀਨ ਸਰਟੀਫਿਕੇਟ ਦੀ ਤੁਲਨਾ ਸੰਭਾਲੇ ਹੋਏ ਪਾਸਵਰਡ ਨਾਲ ਕਰੋ, ਅਤੇ ਅਸਲ ਅਧਿਕਾਰ ਸੀਮਾ ਲੌਗਇਨ ਤੋਂ ਬਾਅਦ ਚੱਲਣ ਵਾਲੀ ਨੀਤੀ ਵਿੱਚ ਰੱਖੋ।
ਲਗਭਗ ਹਰ ਬਿਨਾਂ ਨਿਗਰਾਨੀ ਵਾਲੇ VPN ਸੈੱਟਅੱਪ ਲਈ ਦੋ ਡਿਜ਼ਾਈਨ ਕਾਫ਼ੀ ਹਨ: ਸਕ੍ਰਿਪਟ ਵਿੱਚ ਰੱਖਿਆ ਸਾਂਝਾ ਮਨੁੱਖੀ ਲੌਗਇਨ, ਜਾਂ ਹੋਸਟ ਨਾਲ ਬੱਝਿਆ ਮਸ਼ੀਨ ਸਰਟੀਫਿਕੇਟ। ਇਹ ਵੱਖਰੀਆਂ ਥਾਵਾਂ 'ਤੇ ਫੇਲ੍ਹ ਹੁੰਦੇ ਹਨ, ਅਤੇ ਇਹ ਸੈੱਟਅੱਪ ਦੀ ਰਫ਼ਤਾਰ ਨਾਲੋਂ ਵੱਧ ਮਾਇਨੇ ਰੱਖਦਾ ਹੈ। ਸੰਭਾਲਿਆ ਪਾਸਵਰਡ ਉਦੋਂ ਟੁੱਟਦਾ ਹੈ ਜਦੋਂ ਮਾਲਕ ਇਸ ਨੂੰ ਬਦਲਦਾ ਹੈ ਜਾਂ ਛੱਡ ਦਿੰਦਾ ਹੈ; ਸਰਟੀਫਿਕੇਟ ਉਦੋਂ ਟੁੱਟਦਾ ਹੈ ਜਦੋਂ ਇਹ ਮਿਆਦ ਪੁੱਗ ਜਾਂਦਾ ਹੈ ਜਾਂ ਹੋਸਟ ਨੂੰ ਕੁੰਜੀ ਤੋਂ ਬਿਨਾਂ ਦੁਬਾਰਾ ਬਣਾਇਆ ਜਾਂਦਾ ਹੈ। ਤਿੰਨ ਸ਼ਰਤਾਂ ਤੈਅ ਕਰਦੀਆਂ ਹਨ ਕਿ ਤੁਸੀਂ ਕਿਹੜਾ ਖ਼ਰਚਾ ਚੁੱਕ ਸਕਦੇ ਹੋ, ਅਤੇ ਕੋਈ ਵੀ ਡਿਜ਼ਾਈਨ ਕੁਝ ਵੀ ਸੀਮਤ ਨਹੀਂ ਕਰਦਾ ਜਦ ਤੱਕ ਅਧਿਕਾਰ ਨੀਤੀ ਨਹੀਂ ਕਰਦੀ।
ਖਾਤੇ ਤੋਂ ਨਹੀਂ, ਕੰਮ ਤੋਂ ਸ਼ੁਰੂ ਕਰੋ
ਕੰਮ ਹੱਦ ਤੈਅ ਕਰਦਾ ਹੈ: ਕਿਹੜੀਆਂ ਮੰਜ਼ਿਲਾਂ, ਕਿਹੜੀਆਂ ਸੇਵਾਵਾਂ, ਕਿਹੜੇ ਘੰਟੇ, ਸੈਸ਼ਨ ਕਿੰਨਾ ਚਿਰ ਚੱਲ ਸਕਦਾ ਹੈ। ਟਨਲ ਰੂਟ ਉਸ ਹੱਦ ਦਾ ਸਿਰਫ਼ ਅੱਧਾ ਹਿੱਸਾ ਹੈ। ਗੇਟਵੇ ਤੈਅ ਕਰਦਾ ਹੈ ਕਿ ਸੈਸ਼ਨ ਦੀ ਇਜਾਜ਼ਤ ਹੈ ਜਾਂ ਨਹੀਂ; ਇਸ ਪਿੱਛੇ ਵਾਲਾ ਸਰੋਤ ਤੈਅ ਕਰਦਾ ਹੈ ਕਿ ਸੈਸ਼ਨ ਕੀ ਕਰ ਸਕਦਾ ਹੈ। ਸੂਚੀ ਪਹਿਲਾਂ ਲਿਖੋ, ਨਾਮਜ਼ਦ ਮਾਲਕ ਨਾਲ, ਕਿਉਂਕਿ ਦੋਵੇਂ ਪਛਾਣ ਡਿਜ਼ਾਈਨਾਂ ਨੂੰ ਇਹ ਪੂਰੀ ਕਰਨੀ ਹੁੰਦੀ ਹੈ।
ਇਹ ਲਿਖਦੇ ਸਮੇਂ ਪ੍ਰਮਾਣਿਕਤਾ ਅਤੇ ਅਧਿਕਾਰ ਨੂੰ ਵੱਖਰਾ ਰੱਖੋ। ਪ੍ਰਮਾਣਿਕਤਾ ਦੱਸਦੀ ਹੈ ਕਿ ਕੌਣ ਜੁੜ ਰਿਹਾ ਹੈ; ਅਧਿਕਾਰ ਦੱਸਦਾ ਹੈ ਕਿ ਸੈਸ਼ਨ ਬਾਅਦ ਵਿੱਚ ਕਿੱਥੇ ਪਹੁੰਚ ਸਕਦਾ ਹੈ। RADIUS ਦੂਜਾ ਹਿੱਸਾ Filter-Id, Framed-IP-Address, Session-Timeout ਅਤੇ Class ਵਰਗੇ ਗੁਣਾਂ ਵਜੋਂ ਲੈ ਕੇ ਚੱਲਦਾ ਹੈ, ਅਤੇ ਲੌਗਇਨ ਸਫਲ ਹੋਣ 'ਤੇ ਗੇਟਵੇ ਇਹਨਾਂ ਨੂੰ ਜੋੜ ਦਿੰਦਾ ਹੈ। ਜਿਹੜਾ ਡਿਜ਼ਾਈਨ ਲੌਗਇਨ ਬਦਲ ਕੇ ਅਧਿਕਾਰ ਨੂੰ ਕੁਝ ਨਹੀਂ ਕਰਦਾ, ਉਸ ਨੇ ਕੁਝ ਵੀ ਸੀਮਤ ਨਹੀਂ ਕੀਤਾ।
ਸਾਂਝਾ ਮਨੁੱਖੀ ਲੌਗਇਨ: ਪਾਸਵਰਡ ਹੀ ਹੱਦ ਬਣ ਜਾਂਦਾ ਹੈ
ਮਨੁੱਖੀ ਖਾਤੇ ਦਾ ਦੁਬਾਰਾ ਇਸਤੇਮਾਲ ਸਭ ਤੋਂ ਤੇਜ਼ ਰਾਹ ਹੈ ਅਤੇ ਸਭ ਤੋਂ ਮਾੜਾ ਪੁਰਾਣਾ ਹੁੰਦਾ ਹੈ। ਪ੍ਰਮਾਣ ਪੱਤਰ ਪਾਸਵਰਡ ਹੈ, ਇਸ ਲਈ ਇਹ ਸਕ੍ਰਿਪਟ, ਵਾਤਾਵਰਨ ਫਾਈਲ ਅਤੇ ਸ਼ਡਿਊਲਰ ਸੰਰਚਨਾ ਵਿੱਚ ਪਹੁੰਚ ਜਾਂਦਾ ਹੈ, ਅਤੇ ਹਰ ਕਾਪੀ ਨੂੰ ਬਦਲਣਾ ਪੈਂਦਾ ਹੈ। ਜਦੋਂ ਮਾਲਕ ਸ਼ੁੱਕਰਵਾਰ ਨੂੰ ਇਸ ਨੂੰ ਬਦਲਦਾ ਹੈ, ਤਾਂ ਅਗਲੀ ਵਾਰ ਚੱਲਣ 'ਤੇ ਕੰਮ ਫੇਲ੍ਹ ਹੋ ਜਾਂਦਾ ਹੈ ਅਤੇ ਕੋਈ ਨਹੀਂ ਦੇਖ ਰਿਹਾ।
MFA ਉਹ ਥਾਂ ਹੈ ਜਿੱਥੇ ਇਹ ਡਿਜ਼ਾਈਨ ਆਮ ਤੌਰ 'ਤੇ ਢਹਿ ਜਾਂਦਾ ਹੈ। ਸਕ੍ਰਿਪਟ ਪੁਸ਼ ਬੇਨਤੀ ਦਾ ਜਵਾਬ ਨਹੀਂ ਦੇ ਸਕਦੀ, ਇਸ ਲਈ ਖਾਤਾ ਨੀਤੀ ਤੋਂ ਬਾਹਰ ਕਰ ਦਿੱਤਾ ਜਾਂਦਾ ਹੈ, ਅਤੇ ਇਹ ਠੀਕ ਉਹੀ ਖਾਤਾ ਹੈ ਜੋ ਹਮਲਾਵਰ ਚੁਣੇਗਾ। ਛੋਟਾਂ, ਭਰੋਸੇਯੋਗ ਟਿਕਾਣੇ ਦੇ ਬਾਈਪਾਸ ਅਤੇ ਪ੍ਰਤੀ-ਖਾਤਾ ਛੋਟਾਂ ਵਧਦੀਆਂ ਜਾਂਦੀਆਂ ਹਨ, ਅਤੇ ਇਹਨਾਂ ਵਿੱਚੋਂ ਕੋਈ ਵੀ ਅਗਲੇ ਪੜ੍ਹਨ ਵਾਲੇ ਲਈ ਦਿਖਾਈ ਨਹੀਂ ਦਿੰਦੀ।
ਗਿਣਤੀ ਦਾ ਹਿਸਾਬ ਦੂਜਾ ਖ਼ਰਚਾ ਹੈ। ਗੇਟਵੇ ਲੌਗ ਵਿੱਚ ਹਰ ਸੈਸ਼ਨ ਉਹੀ ਵਰਤੋਂਕਾਰ ਨਾਮ ਲੈ ਕੇ ਚੱਲਦਾ ਹੈ, ਇਸ ਲਈ ਰਾਤ ਦੀ ਸਿੰਕ ਨੂੰ ਉਸ ਵਿਅਕਤੀ ਦੇ ਕੰਮ ਤੋਂ ਵੱਖ ਨਹੀਂ ਕੀਤਾ ਜਾ ਸਕਦਾ ਜਿਸ ਨੇ ਇਹ ਲਿਖਿਆ, ਅਤੇ ਕੰਮ ਨੂੰ ਰੱਦ ਕਰਨ ਦਾ ਮਤਲਬ ਉਸ ਵਿਅਕਤੀ ਨੂੰ ਰੱਦ ਕਰਨਾ ਹੈ।
ਮਸ਼ੀਨ ਸਰਟੀਫਿਕੇਟ: ਪਛਾਣ ਹੋਸਟ ਨਾਲ ਬੱਝੀ
ਸਰਟੀਫਿਕੇਟ ਸਵਾਲ ਨੂੰ 'ਖਾਤਾ ਕੀ ਜਾਣਦਾ ਹੈ' ਤੋਂ 'ਹੋਸਟ ਕੀ ਹੈ' ਵੱਲ ਬਦਲਦਾ ਹੈ। EAP-TLS ਵਿੱਚ ਕਲਾਇੰਟ ਸਰਟੀਫਿਕੇਟ ਪੇਸ਼ ਕਰਦਾ ਹੈ ਅਤੇ ਮੇਲ ਖਾਂਦੀ ਨਿੱਜੀ ਕੁੰਜੀ ਦਾ ਕਬਜ਼ਾ ਸਾਬਤ ਕਰਦਾ ਹੈ; ਨੀਤੀ ਸਰਵਰ ਸਬਜੈਕਟ ਜਾਂ ਕੰਪਿਊਟਰ ਖਾਤੇ ਨੂੰ ਸਮੂਹ ਨਾਲ ਜੋੜਦਾ ਹੈ ਅਤੇ ਉਸ ਸਮੂਹ ਦੀ ਨੀਤੀ ਲਾਗੂ ਕਰਦਾ ਹੈ। ਕੋਈ ਪੁਸ਼ ਨਹੀਂ, ਟੈਕਸਟ ਫਾਈਲ ਵਿੱਚ ਪਈ ਕੋਈ ਸਾਂਝੀ ਗੁਪਤ ਚੀਜ਼ ਨਹੀਂ।
ਇਹ ਜੋ ਹੱਦ ਬਣਾਉਂਦਾ ਹੈ ਉਹ ਲੋਕਾਂ ਦੀ ਉਮੀਦ ਨਾਲੋਂ ਤੰਗ ਹੈ। ਸਰਟੀਫਿਕੇਟ ਹੋਸਟ ਦੀ ਪਛਾਣ ਕਰਦਾ ਹੈ, ਕੰਮ ਦੀ ਨਹੀਂ, ਅਤੇ root ਜਾਂ ਸਥਾਨਕ ਐਡਮਿਨ ਅਧਿਕਾਰ ਵਾਲਾ ਕੋਈ ਵੀ ਉਸ ਹੋਸਟ 'ਤੇ ਉਹ ਕੁੰਜੀ ਵਰਤ ਸਕਦਾ ਹੈ। ਕੁੰਜੀ ਉੱਥੇ ਰੱਖੋ ਜਿੱਥੇ ਪਲੇਟਫਾਰਮ ਇਸ ਦੀ ਰੱਖਿਆ ਕਰਦਾ ਹੈ: Windows ਸਰਟੀਫਿਕੇਟ ਸਟੋਰ ਵਿੱਚ ਨਿਰਯਾਤ ਯੋਗ ਨਹੀਂ, ਜਿੱਥੇ ਪ੍ਰੋਫਾਈਲ ਇਜਾਜ਼ਤ ਦਿੰਦਾ ਹੈ ਉੱਥੇ TPM ਸਮਰਥਿਤ, ਜਾਂ Linux 'ਤੇ root ਦੀ ਮਾਲਕੀ ਵਾਲੀ 0600 ਫਾਈਲ। ਹੋਸਟ ਦਾ ਸਮਝੌਤਾ ਪ੍ਰਮਾਣ ਪੱਤਰ ਦਾ ਸਮਝੌਤਾ ਹੈ।
ਮਿਆਦ ਪੁੱਗਣਾ ਵਾਰ-ਵਾਰ ਹੋਣ ਵਾਲੀ ਫੇਲ੍ਹਤਾ ਹੈ। ਐਤਵਾਰ ਨੂੰ ਮਿਆਦ ਪੁੱਗਣ ਵਾਲਾ ਸਰਟੀਫਿਕੇਟ ਐਤਵਾਰ ਨੂੰ ਕੰਮ ਰੋਕ ਦਿੰਦਾ ਹੈ, ਅਤੇ ਗੇਟਵੇ ਆਮ ਤੌਰ 'ਤੇ ਤਾਰੀਖ਼ ਦੱਸਣ ਦੀ ਥਾਂ ਸਧਾਰਨ ਪ੍ਰਮਾਣਿਕਤਾ ਫੇਲ੍ਹਤਾ ਦੀ ਰਿਪੋਰਟ ਕਰਦਾ ਹੈ। ਰਨਬੁੱਕ ਦੇ ਹਿੱਸੇ ਵਜੋਂ ਕੰਮ ਵਾਲੇ ਹੋਸਟ ਤੋਂ ਤਾਰੀਖ਼ਾਂ ਜਾਂਚੋ:
openssl x509 -in client.pem -noout -subject -issuer -dates
ipsec listcertsਰੱਦ ਕਰਨ ਲਈ ਇੱਕ ਰਾਹ ਚਾਹੀਦਾ ਹੈ ਜਿਸ ਨੂੰ ਗੇਟਵੇ ਜਾਂਚਦਾ ਹੈ। OpenVPN crl-verify ਵਿਕਲਪ ਰਾਹੀਂ CRL ਪੜ੍ਹਦਾ ਹੈ, ਅਤੇ strongSwan ਕਨੈਕਸ਼ਨ ਪ੍ਰੋਫਾਈਲ ਕਿਵੇਂ ਬਣਿਆ ਹੈ ਉਸ ਅਨੁਸਾਰ CRL ਜਾਂ OCSP 'ਤੇ ਨਿਰਭਰ ਕਰਦਾ ਹੈ। ਜੇ ਦੋਵੇਂ ਵਿੱਚੋਂ ਕੋਈ ਵੀ ਨਹੀਂ ਜੁੜਿਆ, ਤਾਂ ਹੋਸਟ ਹਟਾਉਣ ਦਾ ਮਤਲਬ ਸਰਟੀਫਿਕੇਟ ਦੀ ਮਿਆਦ ਪੁੱਗਣ ਦੀ ਉਡੀਕ ਕਰਨਾ ਹੈ।
ਤਿੰਨ ਸ਼ਰਤਾਂ ਜੋ ਦੋਵਾਂ ਵਿੱਚ ਫ਼ੈਸਲਾ ਕਰਦੀਆਂ ਹਨ
ਤੁਲਨਾ ਆਪਣੇ ਪਲੇਟਫਾਰਮ ਨਾਲ ਕਰੋ, ਕਿਸੇ ਹਵਾਲਾ ਡਿਜ਼ਾਈਨ ਨਾਲ ਨਹੀਂ।
ਪਹਿਲੀ ਸ਼ਰਤ: ਕੀ ਗੇਟਵੇ ਮਸ਼ੀਨ ਪਛਾਣ ਨੂੰ ਅਧਿਕਾਰ ਦੇ ਸਕਦਾ ਹੈ? ਜੇ ਇਹ ਸਿਰਫ਼ RADIUS ਵਰਤੋਂਕਾਰ ਨਾਮ ਨੂੰ ਡਾਇਰੈਕਟਰੀ ਵਰਤੋਂਕਾਰ ਨਾਲ ਜੋੜਦਾ ਹੈ, ਤਾਂ ਸਰਟੀਫਿਕੇਟ ਹੋਸਟ ਦੀ ਪਛਾਣ ਕਰਦਾ ਹੈ ਅਤੇ ਫਿਰ ਅਧਿਕਾਰ 'ਤੇ ਰੁਕ ਜਾਂਦਾ ਹੈ। ਦੂਜੀ ਸ਼ਰਤ: ਕੀ ਕੰਮ ਨੂੰ ਸਰੋਤ ਪਹੁੰਚ ਚਾਹੀਦੀ ਹੈ ਜੋ ਸਿਰਫ਼ ਵਰਤੋਂਕਾਰ ਖਾਤਾ ਦਿੰਦਾ ਹੈ, ਜਿਵੇਂ ਮੈਪ ਕੀਤਾ ਸ਼ੇਅਰ ਜਾਂ ਪ੍ਰਤੀ-ਸੀਟ ਲਾਇਸੈਂਸ? ਤਾਂ ਮਸ਼ੀਨ ਪਛਾਣ ਬਦਲ ਨਹੀਂ ਸਕਦੀ, ਅਤੇ ਸੱਚਾ ਜਵਾਬ ਸੀਮਤ ਨੀਤੀ ਵਾਲਾ ਸਮਰਪਿਤ ਵਰਤੋਂਕਾਰ ਖਾਤਾ ਹੈ। ਤੀਜੀ ਸ਼ਰਤ: ਕੌਣ ਪ੍ਰਮਾਣ ਪੱਤਰ ਨੂੰ ਬਿਨਾਂ ਕਿਸੇ ਬੰਦੇ ਦੇ ਬਦਲ ਸਕਦਾ ਹੈ? ਸਵੈਚਾਲਿਤ ਨਾਮਾਂਕਣ ਸਰਟੀਫਿਕੇਟ ਨੂੰ ਸਸਤਾ ਰੱਖਦਾ ਹੈ; ਇੱਕ ਬੰਦੇ ਨੂੰ ਪਤਾ ਪਾਸਵਰਡ ਨਹੀਂ।
| Constraint | Machine certificate | Dedicated user account with stored secret |
|---|---|---|
| Unattended login | Private key proof, no prompt | Only if the account is exempted from MFA |
| Resource expects a user identity | Works only when the resource accepts computer accounts | Matches the access a person would have |
| Rotation | Re-enrollment, often automated | Secret change plus redeploy of every copy |
| Revocation speed | Tied to CRL or OCSP refresh | Disable the account, immediate |
ਸਾਰਣੀ ਨੂੰ ਦਰਜਾਬੰਦੀ ਨਹੀਂ, ਖ਼ਰਚਿਆਂ ਦੀ ਸੂਚੀ ਵਜੋਂ ਪੜ੍ਹੋ। ਸੰਭਾਲੇ ਗੁਪਤ ਦਾ ਕਾਲਮ ਰੱਦ ਕਰਨ ਦੀ ਰਫ਼ਤਾਰ ਅਤੇ ਉਹਨਾਂ ਸਰੋਤਾਂ ਨਾਲ ਅਨੁਕੂਲਤਾ ਵਿੱਚ ਜਿੱਤਦਾ ਹੈ ਜੋ ਸਿਰਫ਼ ਵਰਤੋਂਕਾਰ ਖਾਤੇ ਸਮਝਦੇ ਹਨ; ਸਰਟੀਫਿਕੇਟ ਵਾਲਾ ਕਾਲਮ ਬਦਲਾਅ ਅਤੇ MFA ਨੂੰ ਕਮਜ਼ੋਰ ਨਾ ਕਰਨ ਵਿੱਚ ਜਿੱਤਦਾ ਹੈ।
ਸੀਮਾ ਨੀਤੀ ਵਿੱਚ ਰੱਖੋ, ਪ੍ਰਮਾਣਿਕਤਾ ਤੋਂ ਬਾਅਦ
ਤੁਸੀਂ ਜੋ ਵੀ ਪਛਾਣ ਚੁਣੋ, ਅਧਿਕਾਰ ਸੀਮਾ ਉਸ ਨੀਤੀ ਵਿੱਚ ਹੀ ਰਹਿੰਦੀ ਹੈ ਜੋ ਪ੍ਰਮਾਣਿਕਤਾ ਤੋਂ ਬਾਅਦ ਚੱਲਦੀ ਹੈ। NPS ਵਿੱਚ ਨੈੱਟਵਰਕ ਨੀਤੀਆਂ ਕ੍ਰਮ ਨਾਲ ਜਾਂਚੀਆਂ ਜਾਂਦੀਆਂ ਹਨ ਅਤੇ ਹਰ ਸ਼ਰਤ ਨਾਲ ਮੇਲ ਖਾਂਦੀ ਪਹਿਲੀ ਨੀਤੀ ਆਪਣੀਆਂ ਸੈਟਿੰਗਾਂ ਲਾਗੂ ਕਰਦੀ ਹੈ, ਇਸ ਲਈ ਤੰਗ ਨੀਤੀ ਉੱਤੇ ਰੱਖੀ ਚੌੜੀ ਨੀਤੀ ਨਤੀਜਾ ਤੈਅ ਕਰਦੀ ਹੈ, ਭਾਵੇਂ ਕਲਾਇੰਟ ਕੁਝ ਵੀ ਪੇਸ਼ ਕਰੇ। Microsoft ਸ਼ਰਤਾਂ ਅਤੇ ਸੈਟਿੰਗਾਂ ਦਾ ਮਾਡਲ ਆਪਣੇ NPS ਨੀਤੀ ਸੰਖੇਪ ਵਿੱਚ ਦੱਸਦਾ ਹੈ।
ਕੰਮ ਨੂੰ ਆਪਣਾ ਸਮੂਹ ਜਾਂ ਨੀਤੀ ਸ਼ਰਤ ਦਿਓ, ਜੋ ਮਸ਼ੀਨ ਪਛਾਣ ਕੋਲ ਮੌਜੂਦ ਕਿਸੇ ਚੀਜ਼ 'ਤੇ ਆਧਾਰਿਤ ਹੋਵੇ: ਸਰਟੀਫਿਕੇਟ ਟੈਂਪਲੇਟ, ਕਾਲ ਕਰਨ ਵਾਲੇ ਸਟੇਸ਼ਨ ਦਾ ਪਛਾਣਕਰਤਾ, ਜਾਂ ਸਮਰਪਿਤ ਪੂਲ ਦਾ ਪਤਾ। ਫਿਰ ਸੈਸ਼ਨ ਨੂੰ ਗੁਣਾਂ ਨਾਲ ਬੰਨ੍ਹੋ: ਜਿਸ ਭੂਮਿਕਾ ਨਾਲ ਤੁਹਾਡਾ ਗੇਟਵੇ ਇਸ ਨੂੰ ਜੋੜਦਾ ਹੈ ਉਸ ਲਈ Filter-Id, ਛੋਟਾ Session-Timeout ਤਾਂ ਜੋ ਅਟਕਿਆ ਕੰਮ ਦਿਨਾਂ ਤੱਕ ਸੈਸ਼ਨ ਰੱਖਣ ਦੀ ਥਾਂ ਦੁਬਾਰਾ ਪ੍ਰਮਾਣਿਤ ਹੋਵੇ, ਅਤੇ ਦੂਜੇ ਪਾਸੇ ਫਾਇਰਵਾਲ ਕੀਤੇ ਪੂਲ ਤੋਂ Framed-IP-Address। ਐਪਲੀਕੇਸ਼ਨ ਅਧਿਕਾਰ ਵੱਖਰਾ ਰਹਿੰਦਾ ਹੈ: ਡਾਟਾਬੇਸ ਸਰਵਰ ਤੱਕ ਟਨਲ ਉਸ ਅੰਦਰ ਸਾਰਣੀ ਪੜ੍ਹਨ ਦੀ ਇਜਾਜ਼ਤ ਨਹੀਂ ਹੈ।
ਇਨਕਾਰ ਜਾਂਚੋ, ਫਿਰ ਹਟਾਉਣ ਦੀ ਯੋਜਨਾ ਬਣਾਓ
ਜੋ ਪਹੁੰਚ ਕੰਮ ਕਰਦੀ ਹੈ ਉਹ ਘੱਟੋ-ਘੱਟ ਅਧਿਕਾਰ ਬਾਰੇ ਕੁਝ ਸਾਬਤ ਨਹੀਂ ਕਰਦੀ। ਇਸ ਦੀ ਥਾਂ ਇਨਕਾਰ ਜਾਂਚੋ: ਕੰਮ ਦੀ ਪਛਾਣ ਨਾਲ ਜੁੜੋ ਅਤੇ ਸੂਚੀ ਤੋਂ ਬਾਹਰਲੀ ਮੰਜ਼ਿਲ ਤੱਕ ਪਹੁੰਚਣ ਦੀ ਕੋਸ਼ਿਸ਼ ਕਰੋ, ਜੇ ਗੇਟਵੇ ਸਿਰਫ਼ ਇੱਕ ਦੀ ਇਜਾਜ਼ਤ ਦੇਣਾ ਚਾਹੀਦਾ ਹੈ ਤਾਂ ਦੂਜਾ ਸਮਕਾਲੀ ਸੈਸ਼ਨ ਖੋਲ੍ਹੋ, ਅਤੇ ਪ੍ਰਮਾਣ ਪੱਤਰ ਰੱਦ ਕਰਨ ਤੋਂ ਬਾਅਦ ਲੌਗਇਨ ਦੁਹਰਾਓ।
ਫਿਰ ਉਹੀ ਸੈਸ਼ਨ ਦੋ ਥਾਵਾਂ 'ਤੇ ਪੁਸ਼ਟੀ ਕਰੋ। ਗੇਟਵੇ ਲੌਗ ਦਿਖਾਉਂਦਾ ਹੈ ਕਿ ਕਿਹੜੀ ਪਛਾਣ ਨੇ ਪ੍ਰਮਾਣਿਤ ਕੀਤਾ; ਨੀਤੀ ਸਰਵਰ ਲੌਗ ਦਿਖਾਉਂਦਾ ਹੈ ਕਿ ਕਿਹੜੀ ਨੀਤੀ ਮੇਲ ਖਾਧੀ ਅਤੇ ਕਿਹੜੇ ਗੁਣ ਵਾਪਸ ਕੀਤੇ। OpenVPN 'ਤੇ ਸਰਵਰ ਸਰਟੀਫਿਕੇਟ ਦਾ common name ਦਰਜ ਕਰਦਾ ਹੈ, ਅਤੇ strongSwan 'ਤੇ ipsec statusall ਵਰਤੀ ਜਾ ਰਹੀ ਪਛਾਣ ਨਾਲ ਸਥਾਪਿਤ ਟਨਲ ਛਾਪਦਾ ਹੈ। ਜੇ ਦੋਵੇਂ ਲੌਗ ਪਛਾਣ ਬਾਰੇ ਅਸਹਿਮਤ ਹਨ, ਤਾਂ ਨੀਤੀ ਤੁਹਾਡੀ ਧਾਰਨਾ ਤੋਂ ਵੱਖਰੀ ਕਿਸੇ ਚੀਜ਼ ਨਾਲ ਮੇਲ ਖਾ ਰਹੀ ਹੈ।
ਹਟਾਉਣਾ ਡਿਜ਼ਾਈਨ ਦਾ ਹਿੱਸਾ ਹੈ, ਸਫ਼ਾਈ ਦਾ ਅਭਿਆਸ ਨਹੀਂ। ਜੋ ਵੀ ਮਿਟਾਉਣਾ ਹੈ ਲਿਖੋ (ਸਰਟੀਫਿਕੇਟ ਜਾਂ ਖਾਤਾ, ਸਮੂਹ ਮੈਂਬਰਸ਼ਿਪ, ਨੈੱਟਵਰਕ ਨੀਤੀ, ਪੂਲ ਐਂਟਰੀ, ਨਿਸ਼ਾਨੇ 'ਤੇ ਫਾਇਰਵਾਲ ਨਿਯਮ) ਅਤੇ ਇੱਕ ਵਾਰ ਚਲਾਓ ਜਦੋਂ ਕੰਮ ਦੁਬਾਰਾ ਬਣਾਉਣਾ ਸੌਖਾ ਹੈ।
ਜੇ ਅੱਜ ਸ਼ੁਰੂ ਕਰ ਰਹੇ ਹੋ, ਤਾਂ ਇਸ ਕ੍ਰਮ ਵਿੱਚ ਕੰਮ ਕਰੋ: ਸਰੋਤ ਸੂਚੀ ਲਿਖੋ, ਤਿੰਨ ਸ਼ਰਤਾਂ ਨਾਲ ਪਛਾਣ ਚੁਣੋ, ਸੀਮਾ ਨੀਤੀ ਵਿੱਚ ਰੱਖੋ, ਅਤੇ ਕੰਮ ਲਾਈਵ ਹੋਣ ਤੋਂ ਪਹਿਲਾਂ ਇੱਕ ਇਨਕਾਰ ਅਭਿਆਸ ਕਰੋ।