පළමුව EAP ක්‍රමය: VPN ට භාවිත කළ හැකි මුරපද හැෂය කුමක්ද
VPN ගුප්ත රහස පරීක්ෂා කරයි, වෙබ් හැෂය නොවේ. ක්‍රමය කියවන්න, පසුව එම මුරපදම දිගටම ක්‍රියා කරනු ඇතැයි පොරොන්දු වීමට පෙර ගබඩාවේ ඇත්තේ කුමක්දැයි පරීක්ෂා කරන්න.
බොහෝ කණ්ඩායම් සතුව ක්‍රියා කරන වෙබ් පිවිසුමක් සහ එම වගුවේ සෑම මුරපදයක්ම ප්‍රතික්ෂේප කරන VPN එකක් ඇත. වෙබ් යෙදුම තමා ගණනය කළ හැෂය සංසන්දනය කරයි, නමුත් උමග සේවාදායකයාට පරීක්ෂා කළ හැකි ආකාරයෙන් රහසක හිමිකාරිත්වය ඔප්පු කරන ලෙස සේවාලාභියාගෙන් ඉල්ලා සිටී. මේවා ගබඩා කළ ද්‍රව්‍ය සම්බන්ධයෙන් වෙනස් අවශ්‍යතා වේ. මේ දෙක අතර පරතරයේදීම මෙවැනි ව්‍යාපෘති බොහොමයක් නතර වේ.
පළමුව ක්‍රමය, පසුව ස්කීමාව
කිසියම් ස්කීමාවක් බැලීමට පෙර තෝරාගත් ක්‍රමයට අවශ්‍ය සාක්ෂිය ලියන්න. අභියෝග-ප්‍රතිචාර ක්‍රමයට සේවාදායකයාට අපේක්ෂිත ප්‍රතිචාරය ගණනය කළ හැකි ද්‍රව්‍ය අවශ්‍ය වන අතර, එය ප්‍රායෝගිකව මුරපදය හෝ ගැළපෙන ව්‍යුත්පන්න ස්වරූපයයි. ආරක්ෂිත උමගක් තුළ මුරපදය ගෙන යන ක්‍රමයට තහවුරු කරන්නා ළඟ මුරපදයම අවශ්‍ය වේ. සේවාලාභී වින්‍යාසය සඳහා නොව, තහවුරු කරන්නාගේ අවශ්‍යතාව සඳහා ක්‍රමයේ ලේඛන කියවන්න, මන්ද සේවාලාභී අවශ්‍යතා සාමාන්‍යයෙන් පහසු කොටසයි.
නවීන වෙබ් රාමුවක් නිපදවන ලුණු දැමූ හැෂය මේ දෙකෙන් එකක්වත් ලබා නොදේ. එය එක් නිශ්චිත සංසන්දනයක් පරීක්ෂා කරන අතර පැමිණි රහසට නැවත හැරවිය නොහැක.
අභියෝග-ප්‍රතිචාරයට ලුණු දැමූ හැෂයක් භාවිත කළ නොහැක
MSCHAPv2 යනු අභියෝග-ප්‍රතිචාර හුවමාරුවකි, එබැවින් සේවාදායකයාට කිසිදා මුරපදය නොලැබේ, ගබඩා කළ තන්තුවක් සංසන්දනය කළ නොහැක. තමා සතුව දැනටමත් ඇති ද්‍රව්‍යයෙන් අපේක්ෂිත ප්‍රතිචාරය ව්‍යුත්පන්න කළ යුතු අතර, ඒ නිසාම ගැළපෙන ගබඩා ස්වරූප කෙතරම් පටුද යන්න පැහැදිලිය. එක් එක් පරිශීලකයාට ලුණු සහිත bcrypt හෝ Argon2 අගයක් හුවමාරුව සම්පූර්ණයෙන් බැහැර කරන ආකාරයෙන් එක් දිශාවකට වේ. පහත වගුව ක්‍රමයේ නමින් නොව ගබඩා ස්වරූපයෙන් ආරම්භ වේ, මන්ද පිළිතුර තීරණය කරන්නේ ගබඩා ස්වරූපයයි.
| What the store holds | What that material can verify | What has to change |
|---|---|---|
| A bcrypt or Argon2 value with a per-user salt | nothing challenge-response can use, and not the password either | re-enrol the users, or place a verifying service in front |
| An unsalted NT-hash | MSCHAPv2, and inner PAP through a TLS tunnel | nothing, as long as that store is the verifier |
| A client certificate with a revocation list | EAP-TLS only | move enrolment and revocation to the PKI owner |
SQL ප්ලගිනයේ ලේඛන strongSwan සඳහා වින්‍යාසය සහ අක්තපත්‍ර සඳහා තමන්ගේම ස්කීමාවක් නිර්වචනය කරන අතර, ව්‍යාපෘතිය එම ප්ලගිනය තවමත් පරීක්ෂණාත්මක ලෙස සලකුණු කරයි. එහි කිසිවක් යෙදුමක පරිශීලක වගුවට අනුවර්තනය නොවන අතර ගබඩා කළ අගයක් සෑදූ හැෂින් ක්‍රමය කුමක්දැයි අනුමාන නොකරයි. එබැවින් යථාර්ථවාදී විකල්ප වන්නේ ද්වාරයට භාවිත කළ හැකි ගබඩාවකට සංක්‍රමණය වීම හෝ හුවමාරුව සිදු කළ හැකි පවතින ගබඩාව ඉදිරිපිට සත්‍යාපන සේවාවක් තැබීමයි. ඉතිරි සියල්ල ඇතුළත සැඟවුණු උපකල්පනයක් ඇති සම්බන්ධකයකි.
RADIUS කාර්යය ගෙන යයි, අවශ්‍යතාව නොවේ
EAP එක RADIUS සේවාදායකයකට පැවරීමෙන් සත්‍යාපනය සිදුවන ස්ථානය වෙනස් වන අතර සාමාන්‍යයෙන් විගණන සලකුණ වැඩිදියුණු කරයි. එය එක් දිශාවක හැෂයකින් මුරපදය යථා තත්ත්වයට පත් නොකරයි, එබැවින් සත්‍යාපන සේවාවට එය අවසන් කරන ක්‍රමයට ගැළපෙන ද්‍රව්‍ය තවමත් අවශ්‍ය වේ. කණ්ඩායම් මෙය දැනගන්නේ RADIUS මාර්ගය ගොඩනඟා අනෙක් කෙළවරේ එම බිත්තියම හමු වූ පසුවය.
RADIUS සේවාදායකයාට ගැළපෙන අක්තපත්‍ර ඇති නාමාවලියක් කියවිය හැකි තැන නිර්මාණය ක්‍රියා කරන අතර VPN ද්වාරය සරලව පවතී. නොහැකි තැන අවංක පිළිතුර තවත් සම්බන්ධකයක් නොව ලියාපදිංචියේ වෙනසකි. සැපයීම සහ අවලංගු කිරීම අනන්‍යතාවය හිමි අයට අයත් වන බැවින්, සහාය දක්වන සමමුහුර්තකරණ ක්‍රියාවලියක් නොමැතිව පිටපත් කළ වගුවක් තනි පිවිසුමක් නොව දෙවන අක්තපත්‍ර ජීවන චක්‍රයකි. යමෙකු එකම තැනක මුරපදය නැවත සකසන පළමු අවස්ථාවේදී එය අපගමනය වන අතර, පද්ධති දෙකෙහිම ඇති ගිණුම එක් එක් පද්ධතියේ වෙනස් ලෙස හැසිරෙන තෙක් එම අපගමනය නිශ්ශබ්ද වේ.
නාමාවලිය කියවන ගිණුම එම කියවීමට පමණක් සීමා කරන්න, ද්වාරය තමන්ගේම වින්‍යාසය සඳහා භාවිත කරන ගිණුමෙන් වෙන් කර තබන්න. හවුල් පරිපාලන ගිණුමක් කියවීම-පමණක් නිර්මාණය වඩාත් පුළුල් බලපෑම් අරයක් බවට පත් කරයි.
ගිණුම කොහේ තිබිය යුතුද
ද්‍රව්‍ය ප්‍රශ්නය විසඳුණු පසු ගෘහ නිර්මාණ දෙකක් ඉතිරි වේ. ද්වාරයට තමා පමණක් කියවන කුඩා අක්තපත්‍ර ගබඩාවක් තිබිය හැක, නැතහොත් ආයතනික නාමාවලිය ඉදිරිපිට සිටින සත්‍යාපන සේවාවකට පැවරිය හැක.
පළමුවැන්න සිතීමට පහසු වන අතර පරිශීලකයාට නරකය, මන්ද ඔහුට නඩත්තු කිරීමට දෙවන මුරපදයක් ඉතිරි වේ. දෙවැන්න එක් අනන්‍යතාවක් රඳවා ගන්නා අතර යමෙකු සම්බන්ධ වීමට පෙර දැන් ක්‍රියාත්මක විය යුතු සේවාවක් මත යැපීමක් එකතු කරයි. දෙකම වැරදි නොවේ, නමුත් තේරීම ද්වාර වින්‍යාසය අසල සටහන් කළ යුතුය, එසේ නොමැති නම් ඊළඟ ඉංජිනේරුවා අනෙක තෝරාගෙන ඇතැයි උපකල්පනය කරනු ඇත. ඔබ කුමක් තෝරා ගත්තද, පහත ඇති විධාන දෙක වන්නේ වෙනස් කිරීමට පෙර වත්මන් තත්ත්වය පෙන්වන ඒවාය.
mysql -N -e "SELECT id, username FROM vpn_users WHERE active = 1 LIMIT 5" vpn
swanctl --list-connsගිණුම් සත්‍යාපනය අධිකාරයද විසඳන්නේ නැත. සමූහ සාමාජිකත්වය, උපාංග තත්ත්වය සහ ජාල අවසරය පරිශීලකයා අවශ්‍ය අනන්‍යතාව ඔප්පු කළ පසුවත් පැහැදිලි සිතියම්කරණයක් අවශ්‍ය වේ. සම්පූර්ණයෙන් සත්‍යාපනය වී කිසිවක් අධිකාරී නොකරන සම්බන්ධතාවය ප්‍රතිපත්තියේ ප්‍රතිඵලයකි, ක්‍රමයේ දෝෂයක් නොවේ.