لومړی د EAP طریقه: کوم د پټنوم هش چې VPN یې کارولی شي
VPN پټ راز ګوري، نه ویب هش. طریقه ولولئ، بیا د دې ژمنې له کولو دمخه چې همدا پټنومونه به کار وکړي، وګورئ چې زېرمه کې څه دي.
ډېرو ټیمونو کې د ویب ننوتل کار کوي او VPN له همدې جدول څخه هر پټنوم ردوي. ویب اپلیکیشن هغه هش پرتله کوي چې په خپله یې حساب کړی، خو ټنل له پیرودونکي غواړي چې د یوه راز مالکیت په داسې ډول ثابت کړي چې سرور یې کولای شي وګوري. دا د زېرمه شوي موادو لپاره بېلابېل غوښتنې دي. همدا د دوی ترمنځ په تشه کې ډېری دې پروژې ودروي.
لومړی طریقه، بیا سکیمه
له هرې سکیمې کتلو دمخه ولیکئ چې غوره شوې طریقه کوم ثبوت غواړي. د ننګونې-ځواب طریقه داسې مواد غواړي چې سرور ترې تمه شوی ځواب حساب کړای شي، چې په عمل کې پټنوم یا یو بل همغږی اخستل شوی بڼه ده. هغه طریقه چې پټنوم د خوندي ټنل دننه وړي، په تصدیق کوونکي کې پخپله پټنوم غواړي. د طریقې اسناد د پیرودونکي د تنظیم لپاره نه، بلکې د تصدیق کوونکي د غوښتنې لپاره ولولئ، ځکه د پیرودونکي غوښتنې معمولاً اسانه برخه وي.
د عصري ویب چوکاټ جوړ شوی مالګه لرونکی هش دواړه نه برابروي. یوازې یوه ټاکلې پرتله کېدنه ګوري او نشي کولای بیرته هغه راز ته وګرځي چې ترې راغلی.
ننګونه-ځواب نشي کولای مالګه لرونکی هش وکاروي
MSCHAPv2 د ننګونې-ځواب تبادله ده، نو سرور هېڅکله پټنوم نه ترلاسه کوي او نه شي کولای زېرمه شوې تار پرتله کړي. باید تمه شوی ځواب له هغو موادو څخه چې مخکې یې لري راوباسي، او همدا لامل دی چې همغږي زېرمه شوې بڼې دومره تنګې دي. د هر کاروونکي لپاره مالګه لرونکی bcrypt یا Argon2 ارزښت په داسې ډول یو لوری دی چې تبادله بشپړه له منځه وړي. لاندې جدول د طریقې له نوم نه نه، بلکې د زېرمې له بڼې پیل کېږي، ځکه ځواب د زېرمې بڼه ټاکي.
| What the store holds | What that material can verify | What has to change |
|---|---|---|
| A bcrypt or Argon2 value with a per-user salt | nothing challenge-response can use, and not the password either | re-enrol the users, or place a verifying service in front |
| An unsalted NT-hash | MSCHAPv2, and inner PAP through a TLS tunnel | nothing, as long as that store is the verifier |
| A client certificate with a revocation list | EAP-TLS only | move enrolment and revocation to the PKI owner |
د SQL د پلگ ان اسناد د strongSwan لپاره د تنظیم او اعتبارنامې لپاره خپله سکیمه تعریفوي، او پروژه لا هم هغه پلگ ان ازموینه یی بلې. په دې کې هېڅ شی د یوه اپلیکیشن د کاروونکو جدول سره سمون نه خوري او نه اټکل کوي چې کومه هش کولو طرحه زېرمه شوی ارزښت جوړ کړی. نو ځکه واقعي انتخابونه داسې زېرمې ته لېږد دي چې دروازه یې کارولی شي، یا د موجودې زېرمې په وړاندې د تصدیق هغه خدمت چې تبادله ترسره کړای شي. نور هر څه د پټې فرضیې لرونکی نښلوونکی دی.
RADIUS کار ځای بدلوي، نه غوښتنه
EAP د RADIUS سرور ته سپارل بدلوي چې تصدیق چېرې کېږي او معمولاً د پلټنې نښه ښه کوي. دا له یو لوري هش څخه پټنوم نه راګرځوي، نو د تصدیق خدمت لا هم د هغې طریقې سره همغږي مواد غواړي چې پای ته رسوي یې. ټیمونه دا هغه وخت پوهېږي چې د RADIUS لاره جوړه کړي او بل سر کې هماغه دیوال ته ورسېږي.
چېرې چې RADIUS سرور همغږي اعتبارنامه لرونکې لارښود لولای شي، هلته ډیزاین کار کوي او VPN دروازه ساده پاتې کېږي. چېرې چې نشي کولای، هلته رښتینی ځواب بل نښلوونکی نه، بلکې د ثبت بدلون دی. برابرول او لغوه کول د هغه چا دي چې هویت لري، نو بې له ملاتړ شوې همغږۍ بهیر څخه کاپي شوې جدول یو ځل ننوتل نه، بلکې د اعتبارنامې دویم ژوند چرخ دی. کله چې څوک یوازې په یوه ځای کې پټنوم بیا تنظیم کړي، لومړی ځل جلا کېږي، او دا جلا کېدنه تر هغه وخامت وي چې په دواړو سیستمونو کې موجود حساب په هر یو کې بېل چلند ونه کړي.
د لارښود لوستونکی حساب یوازې همدې لوستلو ته محدود کړئ او له هغه حساب څخه یې جلا وساتئ چې دروازه یې خپل تنظیم لپاره کاروي. شریکه اداري حساب یوازې-لوستلو ډیزاین په ډېر پراخ اغېز وړانګه بدلوي.
حساب باید چېرې اوسي
کله چې د موادو پوښتنه حل شي، دوه جوړښتونه پاتې کېږي. دروازه کولای شي خپله کوچنۍ اعتبارنامې زېرمه ولري چې یوازې هغه یې لولي، یا د کارپوریټ لارښود په وړاندې ولاړ تصدیق خدمت ته وسپاري.
لومړی یې فکر کول اسانه او کاروونکي لپاره بد دی، ځکه د ساتلو لپاره دویم پټنوم ورته پاتې کېږي. دویم یې یو هویت ساتي او د هغه خدمت پورې تړاو ورزیاتوي چې اوس باید د چا له نښلېدو دمخه چالان وي. دواړه غلط نه دي، خو انتخاب باید د دروازې تنظیم ترڅنګ ثبت شي، که نه راتلونکی انجنیر به فکر وکړي چې بل یې غوره کړی. هر څه چې غوره کړئ، لاندې دوه کمانډونه هماغه دي چې د بدلون دمخه اوسنی حالت ښیي.
mysql -N -e "SELECT id, username FROM vpn_users WHERE active = 1 LIMIT 5" vpn
swanctl --list-connsد حساب تصدیق هم اجازه نه حل کوي. د ډلې غړیتوب، د وسیلې حالت او د شبکې اجازه لا هم د کاروونکي له خوا د اړین هویت له ثابتولو وروسته ښکاره نقشه غواړي. هغه نښلون چې بشپړ تصدیق کېږي او هېڅ اجازه نه ورکوي، د پالیسۍ پایله ده، نه د طریقې خرابي.