Înregistrarea unui utilizator VPN: găsiți mai întâi proprietarul identității

Cineva cere acces la VPN, iar primul instinct este să rulezi adduser pe server. Acest instinct este corect doar într-un set îngust de implementări. Înainte de a crea ceva, deschideți configurația serverului și aflați ce produs rulează acolo și unde validează acreditările, deoarece contul poate exista într-o bază de date a produsului, la un furnizor de identitate sau în stackul propriu de autentificare al gazdei. Crearea unui cont de tip greșit lasă persoana cu o autentificare funcțională și fără tunel.

Un profil de client care spune OpenVPN descrie protocolul, nu sistemul de identitate din spatele lui.

Începeți de la server, nu de la adduser

Identificați mai întâi produsul. Community OpenVPN este demonul plus orice autentificare pe care ați conectat-o la el, în timp ce Access Server este un produs cu propriul strat de utilizatori. Cereți configurația, numele unității și lista de pachete, și verificați dacă există o interfață web pentru administrarea utilizatorilor. Apoi vedeți cum profilul implementat așteaptă ca clienții să demonstreze cine sunt: un certificat, un nume de utilizator și o parolă, sau ambele. Acest răspuns numește sistemul care deține contul.

Abia după aceea expresia crearea utilizatorului are sens. Într-o implementare doar cu certificate, înseamnă emiterea unei identități de dispozitiv prin procesul aprobat, iar o autentificare Unix nu schimbă nimic. Într-o implementare cu parolă, înseamnă backendul care validează efectiv parola.

Patru backenduri, patru locuri unde se creează contul

Autentificarea locală a Access Server păstrează conturile în propria bază de date, așa că interfața de creare a acestora aparține produsului, nu gazdei. PAM deleagă validarea stackului sistemului de operare, motiv pentru care un cont Unix local poate face parte din înregistrare atunci când serviciul a ales exact acel stack. LDAP, RADIUS și SAML mută validarea într-un serviciu extern, unde trăiesc aprovizionarea, politica de parole și MFA. Access Server poate păstra în continuare certificate și permisiuni per utilizator în toate cele patru cazuri, și exact asta face separarea confuză.

Verificați metoda efectivă pentru acest utilizator concret, nu valoarea implicită globală. Access Server 2.10 și versiunile ulterioare pot aplica metode de autentificare diferite per grup sau per utilizator, așa că o valoare implicită locală nu dovedește că contul din fața dumneavoastră este validat local.

Dreptul este o decizie separată

Autentificarea răspunde cine este persoana; dreptul răspunde la ce poate ajunge. Țineți-le ca doi pași, pentru că o autentificare reușită nu este o acordare. Atribuiți în mod deliberat rutele dorite, permisiunile pentru resurse și drepturile administrative, și confirmați că accesul nelegat rămâne refuzat. Acolo unde implementarea acceptă identități individuale, emiteți una per persoană în loc să transmiteți profilul altcuiva, pentru că un profil partajat nu poate fi revocat pentru o singură persoană.

Materialul clientului contează și el. Un profil cu autentificare automată și o autentificare interactivă a utilizatorului reprezintă relații de autentificare diferite, iar schimbarea unuia cu celălalt schimbă ce verifică de fapt serverul.

Retragerea accesului face parte din înregistrare

Notați trei proprietari în timp ce utilizatorul este creat: cine validează contul, cine autorizează accesul la VPN și ce dispozitiv sau profil reprezintă conexiunea. Pot fi trei sisteme diferite, iar un plan de revocare care numește doar unul dintre ele lasă o cale deschisă. Când persoana pleacă, eliminați dreptul de la proprietarul său și revocați fiecare acreditare emisă la proprietarul ei. Ștergerea unui fișier descărcat nu este revocare, iar ștergerea unei intrări locale nu este nici ea dacă o identitate externă se autentifică în continuare.

Apoi testați înregistrarea așa cum ar face un atacator: conectați-vă o dată cu identitatea nouă, confirmați accesul la resursa dorită și confirmați că o resursă nelegată încă refuză. O primă conexiune care funcționează plus un test negativ este o înregistrare finalizată.

Păstrați înregistrarea împreună cu profilul căruia îi aparține. Următorul auditor va întreba cine putea să se conecteze într-o anumită lună, iar răspunsul se află la acei trei proprietari.