VPN සහතිකය LDAP කොටස ආරක්ෂා නොකරයි

නාමාවලියක් සමඟ අක්තපත්‍ර පරීක්ෂා කරන VPN පිවිසුමට වෙන් වූ ජාල සම්බන්ධතා දෙකක් ඇතුළත් වේ. පරිශීලකයාගේ gateway වෙත සම්බන්ධතාව VPN හිම සහතිකය සහ ප්‍රොටොකෝල වින්‍යාසය මගින් ආරක්ෂා වේ. gateway හි නාමාවලිය වෙත සම්බන්ධතාව තමන්ගේම TLS සැකසුම්, තමන්ගේම විශ්වාස ගබඩාව සහ තමන්ගේම අසාර්ථක වීමේ ක්‍රම සහිත තවත් සැසියකි. පළමුවැන්න ගැන කිසිවක් දෙවැන්න ගැන කිසිවක් සහතික නොකරයි.

මෙම අසමමිතිය සංකේතනය කර ඇති ලෙස පෙනෙන නමුත් bind මුරපදය විවෘතව යවන පිවිසුම පිටුපස ඇති ක්‍රියාවිධියයි.

සම්බන්ධතා දෙකක්, විශ්වාස තීරණ දෙකක්

බාහිර සැසිය පරිශීලකයා දකින දෙයයි: VPN ධාරක නාමයට බැඳුණු, සේවාලාභියා විසින් සත්‍යාපනය කළ, සත්‍යාපන හුවමාරුව දරන සහතිකයකි. අභ්‍යන්තර සැසිය gateway තුළ ඇති නාමාවලි සේවාලාභියාට අයත් වන අතර, ඔහු තමන්ගේම සම්බන්ධතාව විවෘත කර TLS සාකච්ඡා කරයි නැතහොත් නොකරයි. සෑම පැත්තක්ම තමා කතා කරන පාර්ශවය තවත් වින්‍යාස ගොනුවක ද්‍රව්‍ය භාවිතයෙන් සත්‍යාපනය කරයි. වැරදි ලෙස වින්‍යාස කළ අභ්‍යන්තර කොටස පරිශීලකයාගේ පැත්තෙන් නොපෙනී පවතී, මන්ද බාහිර කොටස අදහස් කළ පරිදිම ක්‍රියා කරයි.

එබැවින් අසාර්ථකත්වය ශබ්ද නඟා නොව නිහඬව සිදු වේ. නාමාවලියේ සහතිකය කිසිදා පරීක්ෂා නොකරන gateway එකක් තවමත් පරිශීලකයින් නිවැරදිව සත්‍යාපනය කරයි; එය ඔවුන් සත්‍යාපනය නොකළ නාලිකාවක් හරහා පමණක් සත්‍යාපනය කරයි.

StartTLS සහ LDAPS, හිතාමතා තෝරාගත්

StartTLS සාමාන්‍ය LDAP ලෙස විවෘත වී එතැනම උසස් කෙරේ, සාමාන්‍යයෙන් 389 වරායේ. LDAPS සම්බන්ධතාව සමඟම TLS ආරම්භ කරයි, සාමාන්‍යයෙන් 636 හි. දෙකම නීත්‍යානුකූල වන අතර අනුවර්තකය නාමාවලිය ලබා දෙන දෙයට ගැළපිය යුතුය. StartTLS අවශ්‍ය කිරීම එය උත්සාහ කර උසස් කිරීම අසාර්ථක වූ විට ඉදිරියට යාමට වඩා වෙනස් වන අතර, එම වෙනස තුළම bind මුරපදය පිටවිය හැක. දැඩි මාදිලිය වින්‍යාස කරන්න, සහ මුරපද bind සඳහා අසුරක්ෂිත විකල්ප මාර්ගයකට ඉඩ නොදෙන්න.

ldapsearch -H ldap://dc1.corp.example -ZZ -x -D "CN=VPN Bind,OU=Service Accounts,DC=corp,DC=example" -W -b "DC=corp,DC=example" "(sAMAccountName=example-user)" dn

-ZZ විකල්පය මුළු කරුණයි: විමසුම උසස් කිරීමකින් තොරව නිහඬව ඉදිරියට යාම වෙනුවට අසාර්ථක වේ. එම පේළියේ නම් සහ ගිණුම් උදාහරණ වේ. OpenLDAP TLS ලේඛන ඊට පිටුපස ඇති විශ්වාස සැකසුම් ආවරණය කරයි.

LDAP සේවාලාභියා කුමන විශ්වාස ගබඩාව කියවයිද?

OpenLDAP සේවාලාභී පුස්තකාලය තමන්ගේම විශ්වාස වින්‍යාසය කියවයි, එය පද්ධති ගොනුවෙන් හෝ ප්ලගින-විශේෂිත සැකසුමකින් විය හැක. VPN හි CA උපදෙස LDAP පුස්තකාලය එම ගොනුවම කියවන බවට සාක්ෂියක් නොවේ. සහතිකය ඇත්ත වශයෙන් ආවරණය කරන නාමාවලි ධාරක නාමය, සහ පුස්තකාලය විශ්වාස කරන නිකුත් කිරීමේ දාමය භාවිත කරන්න. Active Directory තුළ, දර්ශන නාමයකින් අනුමාන කිරීම වෙනුවට නිවැරදි සේවාදායක සත්‍යාපන භාවිතය සහිත නාමාවලි සේවා සහතිකයක් යොදන්න.

සෑම අසාර්ථකත්ව මාරු ගමනාන්තයක්ම එකම අනන්‍යතා ප්‍රතිපත්තිය සපුරාලිය යුතුය. ප්‍රාථමිකය සත්‍යාපනය වී ද්විතීයිකය නොවන පරිසරයක් මාරුවක් නොමැති පරිසරයකට වඩා නරකය, මන්ද දුර්වල මාර්ගය දැනගන්නේ බාධාවක් අතරතුර පමණි.

bind ගිණුම වෙනම ගැටලුවක් ලෙසම පවතී

ප්‍රවාහනය ආරක්ෂා කිරීම bind ගිණුමට කළ හැකි දේ අඩු නොකරයි. නාමාවලි සෙවුම් විෂය පථය, කණ්ඩායම් අවසරය සහ සේවා ගිණුමේ වරප්‍රසාද වෙන වෙනම තීරණ වන අතර, TLS සක්‍රීය කළ පසුවත් පුළුල් bind ගිණුමක් පුළුල් ලෙසම පවතී. ඒකාබද්ධ කිරීමට අවශ්‍ය පටුම සේවා ගිණුම සහ සෙවුම් පදනම භාවිත කරන්න, සහ අන්ත ලක්ෂ්‍යය, TLS මාදිලිය, විශ්වාසයේ හිමිකරු සහ නවීකරණ ක්‍රියාවලිය VPN වින්‍යාසය සමඟ සටහන් කරන්න.

සහතික නොගැළපීමක් දිස්වන විට, නිවැරදි සහතිකය හෝ දාමය යොදන්න. සත්‍යාපනය අක්‍රීය කිරීම දෘශ්‍ය නොගැළපීමක් අදෘශ්‍ය එකක් බවට පත් කර දෙවන විශ්වාස සම්බන්ධතාව පරීක්ෂා නොකොට තබයි.

සම්බන්ධතා දෙකක්, හිමිකරුවන් දෙදෙනෙක්, නවීකරණ දින දෙකක්. ලේඛනවල ඒවා වෙන් කර තැබීම තමයි පිවිසුම අවංකව තබන්නේ.