د خدمت حساب لپاره VPN لاسرسی: سند یا ګډ ننوتل
د بې پاملرې VPN لاسرسي لپاره د ماشین سند له ساتل شوي پټنوم سره پرتله کړئ، او ریښتینی اجازه حد په هغه تګلاره کې کېږدئ چې له ننوتلو وروسته چلیږي.
نږدې هر بې پاملرې VPN تنظیم د دوو ډیزاینونو له خوا پوښل کیږي: په سکریپټ کې ساتل شوی ګډ انساني ننوتل، یا له هوسټ سره تړلی ماشین سند۔ دوی په بېلو ځایونو کې ناکام کیږي، او دا د تنظیم له چټکتیا څخه ډېر مهم دی۔ ساتل شوی پټنوم هغه وخت ماتېږي چې خاوند یې بدل کړي یا پریږدي؛ سند هغه وخت ماتېږي چې پای ته ورسیږي یا هوسټ پرته له کیلي بیا جوړ شي۔ درې شرطونه فیصله کوي چې کوم لګښت پورته کولی شئ، او هېڅ ډیزاین تر هغه پورې څه نه محدودوي چې د اجازې تګلاره یې محدود کړي۔
له دندې پیل وکړئ، نه له حساب
دنده حد ټاکي: کوم مقصدونه، کومې خدمتونه، کوم ساعتونه، یو ناسته څومره اوږدېدلی شي۔ د ټنل لاره یوازې د دې حد نیمه برخه ده۔ ګیټوې فیصله کوي چې ناسته اجازه لري که نه؛ تر شا سرچینه فیصله کوي چې ناسته څه کولی شي۔ لومړی لیست ولیکئ، له نومول شوي خاوند سره، ځکه دواړه د هویت ډیزاینونه باید هغه پوره کړي۔
کله چې یې لیکئ، تصدیق او اجازه جلا وساتئ۔ تصدیق ځواب ورکوي چې څوک نښلول کیږي؛ اجازه ځواب ورکوي چې ناسته وروسته چېرته رسېدلی شي۔ RADIUS دویمه برخه د Filter-Id، Framed-IP-Address، Session-Timeout او Class په څېر ځانګړنو په توګه وړي، او ګیټوې هغه وخت نښلوي چې ننوتل بریالي شي۔ هغه ډیزاین چې ننوتل بدل کړي او اجازه پرېږدي، هېڅ شی نه دی محدود کړی۔
ګډ انساني ننوتل: پټنوم پخپله حد کیږي
د انساني حساب بیا کارول تر ټولو ژر لار ده او تر ټولو بد زړیږي۔ اعتبار نامه پټنوم دی، نو په سکریپټ، چاپېریال فایل او د مهالویش ترتیباتو کې ځای پیدا کوي، او هر نقل باید بدل شي۔ کله چې خاوند یې د جمعې په ورځ بدل کړي، دنده په راتلونکي ځل ناکامه کیږي او هېڅوک نه ګوري۔
MFA هغه ځای دی چې دا ډیزاین معمولا هلته نړېږي۔ سکریپټ د پوش غوښتنې ځواب نشي ویلی، نو حساب له تګلارې ایستل کیږي، او دا هغه حساب دی چې بریدګر به یې غوره کړي۔ استثناوې، د باوري موقعیت تېرېدل او د هر حساب لپاره معافیتونه زیاتیږي، او هېڅ یو یې د بل لوستونکي لپاره ښکاره نه دی۔
نسبت ورکول بل لګښت دی۔ په ګیټوې لاګ کې هره ناسته هماغه کارن نوم لري، نو شپې سینک د هغه کس له کار څخه چې لیکلی یې دی نشي جلا کېدلی، او د دندې لغوه کول د هغه کس لغوه کول دي۔
ماشین سند: هویت له هوسټ سره تړلی
سند پوښتنه له دې چې حساب څه پېژني هغې ته اړوي چې هوسټ څه دی۔ په EAP-TLS کې کارن سند وړاندې کوي او د ورته شخصي کیلي درلودل ثابتوي؛ د تګلارې سرور موضوع یا د کمپیوټر حساب له یوې ډلې سره نښلوي او د هغې ډلې تګلاره پلي کوي۔ نه غوښتنه، نه په متن فایل کې پروت ګډ راز۔
هغه حد چې جوړوي یې د خلکو له تمې څخه تنګتر دی۔ سند هوسټ تصدیقوي، نه دنده، او هر څوک چې root یا سیمه ایز ادمین حق لري کولی شي هغه کیلي پر هغه هوسټ وکاروي۔ کیلي هلته وساتئ چې پلیټفارم یې ساتي: په Windows د سند ذخیره کې نه صادرېدونکې، چېرې چې پروفایل اجازه ورکوي TPM ملاتړې، یا په Linux کې د root ملکیت 0600 فایل۔ د هوسټ ماتول د اعتبار نامې ماتول دي۔
پای ته رسېدل تکراري ناکامي ده۔ هغه سند چې د یکشنبې په ورځ پای ته ورسیږي، دنده د یکشنبې په ورځ ودروي، او ګیټوې معمولا د نېټې نومولو پر ځای عمومي تصدیق ناکامي راپور کوي۔ د رن بک برخې په توګه له کاري هوسټ څخه نېټې وګورئ:
openssl x509 -in client.pem -noout -subject -issuer -dates
ipsec listcertsلغوه کول هغه لار غواړي چې ګیټوې یې ګوري۔ OpenVPN د crl-verify اختیار له لارې CRL لولي، او strongSwan د نښلونې پروفایل له جوړښت سره سم CRL یا OCSP ته تکیه کوي۔ که دواړه نه وي نښلول شوي، د هوسټ لرې کول د سند د پای ته رسېدو انتظار دي۔
درې شرطونه چې د دوی ترمنځ فیصله کوي
پرتله له هغه پلیټفارم سره وکړئ چې لرئ، نه له یو نمونوي ډیزاین سره۔
لومړی شرط: ګیټوې کولی شي د ماشین هویت ته اجازه ورکړي؟ که یوازې د RADIUS کارن نوم له لارښود کارن سره نښلوي، سند هوسټ تصدیقوي او بیا په اجازه کې ودریږي۔ دویم شرط: دنده د سرچینې هغه لاسرسی غواړي چې یوازې کارن حساب یې لري، لکه نښلول شوی شریک یا د هر چوکۍ جواز؟ نو ماشین هویت یې بدلولی نشي، او رښتینی ځواب د محدودې تګلارې سره ځانګړی کارن حساب دی۔ درېیم شرط: څوک کولی شي اعتبار نامه پرته له یو کس له دورې بدله کړي؟ اتوماتیک ثبت سندونه ارزانه ساتي؛ هغه پټنوم چې یو کس پېژني، نه۔
| Constraint | Machine certificate | Dedicated user account with stored secret |
|---|---|---|
| Unattended login | Private key proof, no prompt | Only if the account is exempted from MFA |
| Resource expects a user identity | Works only when the resource accepts computer accounts | Matches the access a person would have |
| Rotation | Re-enrollment, often automated | Secret change plus redeploy of every copy |
| Revocation speed | Tied to CRL or OCSP refresh | Disable the account, immediate |
جدول د لګښتونو لیست وګورئ، نه د درجه بندۍ په توګه۔ د ساتل شوي راز کالم د لغوه کولو په چټکتیا او د هغو سرچینو سره په مطابقت کې ګټي چې یوازې کارن حسابونه پېژني؛ د سند کالم په بدلون او په دې کې ګټي چې MFA د سکریپټ د کار کولو لپاره کمزوری نه کړي۔
حد په تګلاره کې کېږدئ، له تصدیق وروسته
هر هویت چې غوره کړئ، د اجازې حد هغې تګلارې ته اړه لري چې له تصدیق وروسته چلیږي۔ په NPS کې د شبکې تګلارې په ترتیب ارزول کیږي او لومړۍ تګلاره چې له هر شرط سره سمه وي خپلې ترتیبات پلي کوي، نو پر تنګه تګلاره د پاسه ایښودل شوې پراخه تګلاره پایله ټاکي، هر څه چې کارن وړاندې کړي۔ Microsoft د شرطونو او ترتیباتو ماډل په خپله د NPS تګلارې لنډیز کې بیانوي۔
دندې ته خپله ډله یا د تګلارې شرط ورکړئ، چې پر هغه څه ولاړ وي چې ماشین هویت یې لري: د سند ټیمپلیټ، د زنګ وهونکې سټیشن پېژندونکی، یا د ځانګړي پول یوه پته۔ بیا ناسته په ځانګړنو وتړئ: Filter-Id د هغې رول لپاره چې ستاسو ګیټوې ورته نښلوي، لنډ Session-Timeout تر څو بند پاتې دنده د ورځو لپاره ناسته ساتلو پر ځای بیا تصدیق شي، او Framed-IP-Address له هغه پول څخه چې بل لوري ته فایرول لري۔ د اپلیکیشن اجازه جلا پاتې کیږي: ډیټابیس سرور ته ټنل په هغه کې د جدول لوستلو اجازه نه ده۔
ردونه وګورئ، بیا لرې کول پلان کړئ
هغه لاسرسی چې کار کوي د لږترلږه حق په اړه هېڅ ثابت نه کوي۔ پر ځای یې ردونه وآزمویئ: له دندې هویت سره ونښلئ او له لیست څخه بهر مقصد ته ورسیږئ، که ګیټوې باید یوازې یو ته اجازه ورکړي دویمه هممهاله ناسته پرانیزئ، او د اعتبار نامې له لغوه کولو وروسته ننوتل تکرار کړئ۔
بیا هماغه ناسته په دوو ځایونو کې تایید کړئ۔ ګیټوې لاګ هغه هویت ښیي چې تصدیق شو؛ د تګلارې سرور لاګ ښیي چې کومه تګلاره سمه وه او کومې ځانګړنې یې بیرته راوګرځولې۔ په OpenVPN کې سرور د سند عام نوم ثبتوي، او په strongSwan کې ipsec statusall جوړه شوې ټنل د کارېدونکي هویت سره چاپوي۔ که دواړه لاګونه د هویت په اړه سره مخالف وي، تګلاره له هغه څه سره سمه ده چې تاسو یې فکر نه کوئ۔
لرې کول د ډیزاین برخه ده، نه د پاکولو دوره۔ هر هغه څه ولیکئ چې باید ړنګ شي (سند یا حساب، د ډلې غړیتوب، شبکه تګلاره، د پول ننوتنه، پر هدف فایرول قاعده) او یو ځل یې وچلوئ کله چې دنده بیا جوړول اسانه وي۔
که نن پیل کوئ، په دې ترتیب کار وکړئ: د سرچینو لیست ولیکئ، هویت د درېو شرطونو سره وټاکئ، حد په تګلاره کې کېږدئ، او د دندې له پیل مخکې یو رد وآزمویئ۔