සේවා ගිණුම් සඳහා VPN ප්‍රවේශය: සහතිකය හෝ හවුල් පිවිසුම
අධීක්ෂණයකින් තොර VPN ප්‍රවේශය සඳහා යන්ත්‍ර සහතිකයක් ගබඩා කළ මුරපදයක් සමඟ සසඳා, සැබෑ අවසර සීමාව පිවිසුමෙන් පසු ක්‍රියාත්මක වන ප්‍රතිපත්තිය තුළ තබන්න.
අධීක්ෂණයකින් තොර ඕනෑම VPN සැකසුමක් පාහේ ආවරණය කරන මෝස්තර දෙකක් ඇත: ස්ක්‍රිප්ටයක තබා ඇති හවුල් මානව පිවිසුමක්, නැතහොත් සත්කාරකයට බැඳුණු යන්ත්‍ර සහතිකයක්. ඒවා විවිධ තැන්වල අසාර්ථක වන අතර එය සැකසුමේ වේගයට වඩා වැදගත් වේ. ගබඩා කළ මුරපදයක් එහි හිමිකරු එය වෙනස් කළ විට හෝ ඉවත් වූ විට කැඩේ; සහතිකයක් කල් ඉකුත් වූ විට හෝ යතුර නොමැතිව සත්කාරකය නැවත ගොඩනඟන විට කැඩේ. කොපමණ වියදමක් දරාගත හැකිද යන්න කොන්දේසි තුනක් තීරණය කරන අතර, අවසර ප්‍රතිපත්තිය එය නොකරන තෙක් කිසිදු මෝස්තරයක් කිසිවක් සීමා නොකරයි.
ගිණුමෙන් නොව, කාර්යයෙන් ආරම්භ කරන්න
කාර්යය මායිම නිර්වචනය කරයි: කුමන ගමනාන්ත, කුමන සේවා, කුමන වේලාවන්, සැසියක් කොපමණ කලක් පවතින්නද. උමං මාර්ගය එම මායිමෙන් අඩක් පමණි. සැසියට අවසර තිබේද යන්න ගේට්වේ තීරණය කරයි; එහි පිටුපස ඇති සම්පත සැසියට කළ හැකි දේ තීරණය කරයි. නම් කළ හිමිකරුවෙකු සමඟ ලැයිස්තුව මුලින්ම ලියන්න, මන්ද අනන්‍යතා මෝස්තර දෙකම එය සපුරාලිය යුතුය.
එය ලියන අතරතුර සත්‍යාපනය සහ අවසරය වෙන් කර තබන්න. සත්‍යාපනය පිළිතුරු දෙන්නේ කවුරුන් සම්බන්ධ වන්නේද යන්නටය; අවසරය පිළිතුරු දෙන්නේ පසුව සැසියට යා හැකි තැනටය. RADIUS දෙවන කොටස Filter-Id, Framed-IP-Address, Session-Timeout සහ Class වැනි ගුණාංග ලෙස රැගෙන යන අතර, පිවිසුම සාර්ථක වූ පසු ගේට්වේ ඒවා අමුණයි. පිවිසුම මාරු කර අවසරය එලෙසම තබන මෝස්තරයක් කිසිවක් සීමා කර නැත.
හවුල් මානව පිවිසුම: මුරපදය මායිම බවට පත් වේ
මානව ගිණුමක් නැවත භාවිත කිරීම වේගවත්ම මාර්ගය මෙන්ම වඩාත් නරක ලෙස මහලු වන මාර්ගයයි. අක්තපත්‍රය මුරපදයක් බැවින් එය ස්ක්‍රිප්ටයක, පරිසර ගොනුවක සහ කාලසටහන් සැකසුමක අවසන් වන අතර සෑම පිටපතකටම භ්‍රමණය අවශ්‍යය. හිමිකරු එය සිකුරාදා දිනක වෙනස් කළ විට, ඊළඟ ක්‍රියාවේදී කාර්යය අසාර්ථක වන අතර කිසිවෙකු බලා නොසිටී.
මෙම මෝස්තරය සාමාන්‍යයෙන් බිඳ වැටෙන්නේ MFA හිදීය. ස්ක්‍රිප්ටයකට push ඉල්ලීමකට පිළිතුරු දිය නොහැකි බැවින් ගිණුම ප්‍රතිපත්තියෙන් බැහැර කෙරේ, එය ප්‍රහාරකයෙකු තෝරා ගන්නා ගිණුමම වේ. ව්‍යතිරේක, විශ්වාසනීය ස්ථාන මඟහැරීම් සහ ගිණුම් අනුව නිදහස් කිරීම් බහුල වන අතර, ඒවායින් කිසිවක් මීළඟ පුද්ගලයාට දෘශ්‍යමාන නොවේ.
ආරෝපණය අනෙක් වියදමයි. ගේට්වේ ලොගයේ සෑම සැසියක්ම එකම පරිශීලක නාමය දරන බැවින් රාත්‍රී සමමුහුර්තකරණය එය ලියූ පුද්ගලයාගේ කාර්යයෙන් වෙන් කළ නොහැක, සහ කාර්යය අවලංගු කිරීම යනු එම පුද්ගලයා අවලංගු කිරීමයි.
යන්ත්‍ර සහතිකය: අනන්‍යතාව සත්කාරකයට බැඳී ඇත
සහතිකයක් ප්‍රශ්නය ගිණුම දන්නා දෙයින් සත්කාරකය කුමක්ද යන්නට වෙනස් කරයි. EAP-TLS සමඟ සේවාදායකය සහතිකයක් ඉදිරිපත් කර ගැලපෙන පෞද්ගලික යතුර තමා සතු බව ඔප්පු කරයි; ප්‍රතිපත්ති සේවාදායකය විෂයය හෝ පරිගණක ගිණුම කණ්ඩායමකට සිතියම් කර එම කණ්ඩායමට අදාළ ප්‍රතිපත්තිය යොදයි. ඉල්ලීමක් නැත, පෙළ ගොනුවක වාඩි වී සිටින හවුල් රහසක් නැත.
එය නිර්මාණය කරන මායිම මිනිසුන් බලාපොරොත්තු වන තරමට පටු ය. සහතිකයක් සත්‍යාපනය කරන්නේ සත්කාරකය, කාර්යය නොවේ, තවද root හෝ දේශීය පරිපාලක අයිතිවාසිකම් ඇති ඕනෑම අයෙකුට එම සත්කාරකයේ එම යතුර භාවිත කළ හැක. යතුර වේදිකාව ආරක්ෂා කරන තැන තබන්න: Windows සහතික ගබඩාවේ අපනයනය කළ නොහැකි ලෙස, පැතිකඩ ඉඩ දෙන තැන TPM ආධාරක ලෙස, නැතහොත් Linux හි root සතු 0600 ගොනුවක් ලෙස. සත්කාරකය අනුමත වීම අක්තපත්‍රය අනුමත වීමයි.
කල් ඉකුත් වීම නැවත නැවත සිදුවන අසාර්ථකත්වයයි. ඉරිදා දිනක කල් ඉකුත් වන සහතිකයක් ඉරිදා දින කාර්යය නවත්වන අතර, ගේට්වේ සාමාන්‍යයෙන් දිනය නම් කිරීම වෙනුවට සාමාන්‍ය සත්‍යාපන දෝෂයක් වාර්තා කරයි. ධාවන පොතේ කොටසක් ලෙස කාර්ය සත්කාරකයෙන් දිනයන් පරීක්ෂා කරන්න:
openssl x509 -in client.pem -noout -subject -issuer -dates
ipsec listcertsඅවලංගු කිරීමට ගේට්වේ පරීක්ෂා කරන මාර්ගයක් අවශ්‍යය. OpenVPN crl-verify විකල්පය හරහා CRL කියවන අතර, strongSwan සම්බන්ධතා පැතිකඩ ගොඩනඟා ඇති ආකාරය අනුව CRL හෝ OCSP මත රඳා පවතී. දෙකම සම්බන්ධ නොකළහොත්, සත්කාරකයක් ඉවත් කිරීම යනු සහතිකය කල් ඉකුත් වන තෙක් රැඳී සිටීමයි.
ඒවා අතර තීරණය කරන කොන්දේසි තුනක්
සංසන්දනය ඔබ සතු වේදිකාව සමඟ කරන්න, යොමු මෝස්තරයක් සමඟ නොවේ.
පළමු කොන්දේසිය: ගේට්වේට යන්ත්‍ර අනන්‍යතාවකට අවසර දිය හැකිද? එය RADIUS පරිශීලක නාමයක් පමණක් නාමාවලි පරිශීලකයෙකුට සිතියම් කරන්නේ නම්, සහතිකයක් සත්කාරකය සත්‍යාපනය කර පසුව අවසරයේදී නතර වේ. දෙවන කොන්දේසිය: කාර්යයට පරිශීලක ගිණුමක් පමණක් දරන සම්පත් ප්‍රවේශයක් අවශ්‍යද, සිතියම් කළ බෙදාගැනීමක් හෝ ආසනයකට බලපත්‍රයක් වැනි? එවිට යන්ත්‍ර අනන්‍යතාවකට ආදේශ කළ නොහැක, සහ අවංක පිළිතුර වන්නේ සීමිත ප්‍රතිපත්තියක් සහිත කැපවූ පරිශීලක ගිණුමකි. තෙවන කොන්දේසිය: මිනිසෙකු නොමැතිව අක්තපත්‍රය භ්‍රමණය කළ හැක්කේ කාටද? ස්වයංක්‍රීය ලියාපදිංචිය සහතික තබා ගැනීම ලෙහෙසි කරයි; එක් අයෙකු දන්නා මුරපදයක් එසේ නොකරයි.
| Constraint | Machine certificate | Dedicated user account with stored secret |
|---|---|---|
| Unattended login | Private key proof, no prompt | Only if the account is exempted from MFA |
| Resource expects a user identity | Works only when the resource accepts computer accounts | Matches the access a person would have |
| Rotation | Re-enrollment, often automated | Secret change plus redeploy of every copy |
| Revocation speed | Tied to CRL or OCSP refresh | Disable the account, immediate |
වගුව ශ්‍රේණිගත කිරීමක් ලෙස නොව වියදම් ලැයිස්තුවක් ලෙස කියවන්න. ගබඩා කළ රහස් තීරුව අවලංගු කිරීමේ වේගයෙන් සහ පරිශීලක ගිණුම් පමණක් තේරුම් ගන්නා සම්පත් සමඟ ගැළපීමෙන් ජය ගනී; සහතික තීරුව භ්‍රමණයෙන් සහ ස්ක්‍රිප්ටයක් ක්‍රියා කිරීමට MFA දුර්වල නොකිරීමෙන් ජය ගනී.
සීමාව ප්‍රතිපත්තිය තුළ තබන්න, සත්‍යාපනයෙන් පසු
ඔබ තෝරන අනන්‍යතාව කුමක් වුවත්, අවසර සීමාව අයත් වන්නේ සත්‍යාපනයෙන් පසු ක්‍රියාත්මක වන ප්‍රතිපත්තියටය. NPS හි ජාල ප්‍රතිපත්ති අනුපිළිවෙලට ඇගයෙන අතර සෑම කොන්දේසියකටම ගැළපෙන පළමු ප්‍රතිපත්තිය එහි සැකසුම් යොදයි, එබැවින් පටු එකකට ඉහළින් තබන ලද පුළුල් ප්‍රතිපත්තියක් සේවාදායකය ඉදිරිපත් කරන දෙය කුමක් වුවත් ප්‍රතිඵලය තීරණය කරයි. Microsoft කොන්දේසි සහ සැකසුම් ආකෘතිය එහි NPS ප්‍රතිපත්ති දළ විශ්ලේෂණය තුළ ලේඛනගත කරයි.
කාර්යයට එහිම කණ්ඩායමක් හෝ ප්‍රතිපත්ති කොන්දේසියක් දෙන්න, යන්ත්‍ර අනන්‍යතාව දරන දෙයක් මත පදනම්ව: සහතික අච්චුවක්, ඇමතුම් ස්ථාන හඳුනා ගැනීමක්, නැතහොත් කැපවූ තටාකයක ලිපිනයක්. පසුව සැසිය ගුණාංගවලින් සීමා කරන්න: ඔබේ ගේට්වේ එය සිතියම් කරන භූමිකාව සඳහා Filter-Id, සිරවූ කාර්යයක් දින ගණනක් සැසියක් රඳවා ගැනීම වෙනුවට නැවත සත්‍යාපනය වන පරිදි කෙටි Session-Timeout, සහ ඔබ අනෙක් පැත්තේ ගිනිපවුරෙන් ආරක්ෂා කරන තටාකයකින් Framed-IP-Address. යෙදුම් අවසරය වෙන් වශයෙන් පවතී: දත්ත සමුදාය සේවාදායකයකට ඇති උමං මාර්ගයක් එහි ඇති වගුවක් කියවීමට අවසරයක් නොවේ.
ප්‍රතික්ෂේප පරීක්ෂා කරන්න, පසුව ඉවත් කිරීම සැලසුම් කරන්න
ක්‍රියා කරන ප්‍රවේශය අවම වරප්‍රසාද ගැන කිසිවක් ඔප්පු නොකරයි. ඒ වෙනුවට ප්‍රතික්ෂේප පරීක්ෂා කරන්න: කාර්ය අනන්‍යතාව සමඟ සම්බන්ධ වී ලැයිස්තුවෙන් පිටත ගමනාන්තයක් කරා ළඟා වන්න, ගේට්වේ එකකට පමණක් ඉඩ දිය යුතු නම් දෙවන සමගාමී සැසියක් විවෘත කරන්න, සහ අක්තපත්‍රය අවලංගු කිරීමෙන් පසු පිවිසුම නැවත කරන්න.
පසුව එම සැසියම ස්ථාන දෙකකින් තහවුරු කරන්න. ගේට්වේ ලොගය සත්‍යාපනය කළ අනන්‍යතාව පෙන්වයි; ප්‍රතිපත්ති සේවාදායක ලොගය ගැළපුණු ප්‍රතිපත්තිය සහ ආපසු දුන් ගුණාංග පෙන්වයි. OpenVPN හි සේවාදායකය සහතිකයේ පොදු නාමය සටහන් කරන අතර, strongSwan හි ipsec statusall භාවිතයේ ඇති අනන්‍යතාව සමඟ ස්ථාපිත උමං මාර්ගය මුද්‍රණය කරයි. ලොග දෙක අනන්‍යතාව ගැන එකඟ නොවන්නේ නම්, ප්‍රතිපත්තිය ඔබ උපකල්පනය කරන දෙයට වඩා වෙනත් දෙයකට ගැළපෙමින් සිටී.
ඉවත් කිරීම සැලසුමට අයත් ය, පිරිසිදු කිරීමේ ව්‍යායාමයකට නොවේ. මකා දැමිය යුතු සියල්ල ලියන්න (සහතිකය හෝ ගිණුම, කණ්ඩායම් සාමාජිකත්වය, ජාල ප්‍රතිපත්තිය, තටාක සටහන, ඉලක්කයේ ගිනිපවුරු රීතිය) සහ කාර්යය නැවත ගොඩනැගීම පහසු වන විට එක් වරක් එය ක්‍රියාත්මක කරන්න.
ඔබ අද ආරම්භ කරන්නේ නම්, මෙම අනුපිළිවෙලින් වැඩ කරන්න: සම්පත් ලැයිස්තුව ලියන්න, කොන්දේසි තුන සමඟ අනන්‍යතාව තෝරන්න, සීමාව ප්‍රතිපත්තිය තුළ තබන්න, සහ කාර්යය සජීවී වීමට පෙර එක් ප්‍රතික්ෂේපයක් පුහුණු වන්න.