د VPN سند د LDAP برخه نه ساتي

هغه VPN ننوتل چې د لارښود پر وړاندې اعتبارنامې ګوري، دوه جلا شبکې اړیکې لري۔ د کاروونکي اړیکه له ګېټوې سره د VPN خپل سند او د پروتوکول ترتیب لخوا ساتل کېږي۔ د ګېټوې اړیکه له لارښود سره بله سېشن ده چې خپلې TLS تنظیمات، خپله باور زېرمه او خپلې ناکامۍ لارې لري۔ په لومړي کې هیڅ شی په دویم کې هیڅ شی تضمین نه کوي۔

همدا نابرابري هغه میکانیزم دی چې د کوډشوي ښکاره کېدونکي او بیا هم bind پټنوم په خلاصه توګه لېږونکي ننوتل شاته دی۔

دوه اړیکې، دوه باور پرېکړې

بهرنۍ سېشن هغه څه دي چې کاروونکی یې ویني: د VPN کوربه نوم سره تړلی سند، د کلاینت لخوا تایید شوی، چې د تصدیق تبادله وړي۔ دنننۍ سېشن د ګېټوې دننه د لارښود کلاینت دی، چې خپله اړیکه پرانیزي او یا د TLS په اړه خبرې کوي یا نه۔ هر لوری هغه مخامخ کس چې ورسره خبرې کوي د بل ترتیبي فایل له موادو سره تاییدوي۔ ناسم تنظیم شوې دنننۍ برخه د کاروونکي له اړخه نه ښکاري، ځکه بهرنۍ برخه سم لکه څنګه چې اراده وه کار کوي۔

له همدې کبله ناکامي سخته نه، غلې ده۔ هغه ګېټوې چې کله هم د لارښود سند نه ګوري، کاروونکي بیا هم سم تصدیقوي؛ یوازې یې د هغه چینل له لارې تصدیقوي چې تایید کړی یې نه دی۔

StartTLS او LDAPS، په پوهاوي سره ټاکل شوي

StartTLS د ساده LDAP په توګه پرانیستل کېږي او په هماغه ځای کې لوړېږي، معمولاً پر پورټ 389۔ LDAPS له اړیکې سره TLS پیلوي، معمولاً پر 636۔ دواړه قانوني دي او اډاپټر باید له هغه څه سره برابر وي چې لارښود یې وړاندې کوي۔ StartTLS غوښتل له هغه هڅه کولو او د لوړېدو ناکامېدو پر مهال دوام کولو څخه توپیر لري، او هماغه توپیر کې bind پټنوم وتلی شي۔ سخت حالت تنظیم کړئ او د پټنوم bind لپاره له ناساته بدیلې لارې اجازه مه ورکوئ۔

ldapsearch -H ldap://dc1.corp.example -ZZ -x -D "CN=VPN Bind,OU=Service Accounts,DC=corp,DC=example" -W -b "DC=corp,DC=example" "(sAMAccountName=example-user)" dn

-ZZ انتخاب ټوله خبره ده: پوښتنه پرته له لوړېدو په غلې توګه دوام کولو پرځای ناکامېږي۔ په دې کرښه کې نومونه او حسابونه بېلګې دي۔ د OpenLDAP TLS اسناد له دې شاته باور تنظیمات رانغاړي۔

د LDAP کلاینت کومه باور زېرمه لولي؟

د OpenLDAP کلاینت کتابخانه خپل باور ترتیب لولي، که له سیسټم فایل وي یا له پلگ ان ځانګړي تنظیم۔ د VPN CA لارښود د VPN ملګرو لپاره دی او دا ثبوت نه دی چې د LDAP کتابخانه هماغه فایل لولي۔ هغه د لارښود کوربه نوم وکاروئ چې سند یې واقعاً رانغاړي، له هغه صادرونکي زنځیر سره چې کتابخانه پرې باور لري۔ په Active Directory کې، د ښودل شوي نوم له مخې اټکل کولو پرځای د سرور تصدیق سم کارونې سره د لارښود خدمت سند ځای پرځای کړئ۔

هره د ناکامۍ بدیله موخه باید هماغه هویت تګلاره پوره کړي۔ هغه چاپېریال چې لومړنی تایید شوی او دویم نه، له بې بدیلې چاپېریال څخه بدتر دی، ځکه کمزورې لار یوازې د ګډوډۍ پر مهال موندل کېږي۔

د bind حساب جلا ستونزه پاتې کېږي

د لېږد ساتنه هغه څه نه کموي چې bind حساب یې کولی شي۔ په لارښود کې د پلټنې ساحه، ډله ایز اجازه او د خدمت حساب واکونه جلا پرېکړې دي، او پراخ bind حساب د TLS فعالېدو وروسته هم پراخ پاتې کېږي۔ تر ټولو تنګ خدمت حساب او پلټنې بنسټ وکاروئ چې یوځای کول ورته اړ دي، او پای ټکی، TLS حالت، د باور مالک او نوي کولو بهیر د VPN ترتیب سره ثبت کړئ۔

کله چې د سند ناسمونکی ښکاره شي، سم سند یا زنځیر ځای پرځای کړئ۔ د تایید بندول لیدل شوې ناسمونکي په ناليدلي بدلوي او دویمه باور اړیکه بې ازموینې پرېږدي۔

دوه اړیکې، دوه مالکان، دوه نوي کولو نېټې۔ په اسنادو کې د دوی جلا ساتل هماغه دي چې ننوتل رښتیني ساتي۔