Xaqiijinta LDAP ee OpenVPN way shaqaysaa laakiin hubinta kooxdu way guuldareysataa: halka laga eego

Aqoonsiga ayaa gudba, tunnel-ku wuu bilaabaa inuu kaco, ka dibna fadhigu wuu guuldareystaa fariin ku saabsan kooxda halkii ay ka ahaan lahayd erayga sirta ah. Isku darkaas wuxuu cilladda geliyaa qaybta labaad ee shaqada plugin-ka LDAP: isku xirka iyo hubinta erayga sirta ah way guuleysteen, go'aanka xubinnimada ee xiga ma uusan guuleysan. Labada qaybood waxay ka akhriyaan isla qaybta habaynta, taasina waa sababta hagaajin hal meel ay tan kale uga tagi karto iyada oo aan la taaban. Ka bilow khadka diiwaanka ee magacaaya tallaabada, kama bilow xisaabta aad si kadis ah u tijaabinayso.

U qaado diidmada jawaab u oggolaansho

Plugin-ku wuxuu sameeyaa isku xir adeeg, wuxuu raadiyaa xisaabta, wuxuu xaqiijiyaa erayga sirta ah ee la bixiyay, ka dibna wuxuu weydiiyaa haddii xisaabtaas ay ka tirsan tahay koox la oggolaaday. Kuwaasi waa afar hawlood oo kala duwan, oo kaliya tan ugu dambaysa ayaa ku saabsan kooxaha. Sidaas darteed diidmo timaadda isku xir guuleystay ka dib waxba kama sheegto erayga sirta ah, xitaa marka macmiilku muujiyo khalad xaqiijin guud. Kor u qaadista heerka diiwaanka plugin-ka ka hor inta aan la beddelin habaynta waa waxa afarta ku kala sooca soo-saarka.

Raadi qiimaynta kooxda lafteeda. Marka aan wax su'aal kooxeed ahaba soo muuqan, qaybta oggolaanshaha lama gaaro, taas oo badanaa macneheedu yahay in tilmaan ka baxsan tahay qaybta ay leedahay ama ikhtiyaar loo baahan yahay uu maqan yahay. Marka su'aashu soo muuqato oo waxba soo celin, barta ugu dambaysa ama shaandhada waxay ka jawaabaysaa su'aal ka duwan tii aad ula jeeday.

Go'aanso haddii xubinnimadu ku nooshahay shaandhada ama qaybta kooxda

Waxaa jira laba qaab oo la taageeray, isku darkooduna waa dariiqa habayn shaqaynaysay ay u joojiso shaqaynta. Kan koowaad wuxuu xubinnimada ku riixaa raadinta isticmaalaha isagoo weydiinaya sifo ku taal shayga isticmaalaha; kan labaad wuxuu raadinta isticmaalaha uga tagaa sidii oo kale oo wuxuu plugin-ka u oggolaadaa inuu hadda ka dib raadiyo shayga kooxda. Mid ka mid ah u dooro hirgelin kasta oo qor midka aad dooratay.

<Authorization>
    BaseDN       "OU=People,DC=example,DC=org"
    SearchFilter "(&(sAMAccountName=%u)(memberOf=CN=VPN Access,OU=Groups,DC=example,DC=org))"
    RequireGroup false
</Authorization>

Qaabkaas shaandhadu waxay go'aamisaa wax walba, sidaas darteed RequireGroup waa inuu false ahaadaa haddii kale plugin-ku wuxuu raadinayaa shay kooxeed oo shaandhadu aanay waligeed xusin. Sifada shaandhada ku jirta waa inay ku taal shayga isticmaalaha oo buuxsantay, taas oo aan la dammaanad qaadin marka kooxuhu ay is dhexgalaan.

Qaabka kale wuxuu raadinta ku hayaa mid fudud oo wuxuu ku darayaa raadin kooxeed ka dib. Shayga kooxda si cad ayaa loo magacaabay, plugin-kuna wuxuu isticmaalaha barbar dhigaa xubnaha hagahu u soo celiyo. Waxba kama beddelmo shaandhada isticmaalaha, taas oo qaabkan ka dhigaysa mid sahlan in la baaro marka kooxda ay maamusho koox kale.

<Authorization>
    BaseDN       "OU=People,DC=example,DC=org"
    SearchFilter "(sAMAccountName=%u)"
    RequireGroup true
    Group        "CN=VPN Access,OU=Groups,DC=example,DC=org"
</Authorization>

Barta indhoolaha ah waa mid la wadaago: barbar dhig xubinnimo fudud ma fidiyo kooxaha is dhexgalay, sidaas darteed xisaabta ay marin-uhelkeeda ku timaaddo koox waalid way guuldareysataa iyadoo console-ku wali muujinayo xubinnimada. Active Directory waxay kooxda ku muujisaa member, nidaamyada kale waxay isticmaalaan uniqueMember, u jeedinta sifada khaldan waxay soo celisaa natiijo madhan halkii ay khalad soo celin lahayd.

Dooro barta ugu dambaysa oo haysta shayga kooxda

URL-ku wuxuu go'aamiyaa hagaha plugin-ku weydiiyo, kontoroolaha domain-ka ee dekedda 389 wuxuu kaliya ka jawaabaa macnaha magacyadiisa. Kataloog caalami ah oo dekedda 3268 wuxuu ka jawaabaa kaynta oo dhan, akhris-kaliya iyo iyadoo leh qayb sifooyin ah. Marka xisaabaadku ku jiraan hal domain oo kooxda VPN ay ku jirto mid kale, weydiin hal-domain ah waxay heli kartaa isticmaalaha oo wali seegi kartaa xubinnimada. Taasi waa xaaladda ay URL-ka u raridda dekedda katalooggu xalliso diidmada, waana sidoo kale xaaladda ay dadku si xad-dhaaf ah u guudmeeyaan.

Qaybta sifooyinka ee qayb ahaan ah waa xadka: sifada aan katalooggu hayn laguma shaandhayn karo, sidaas darteed isla beddelaaddaas waxay hal hirgelin ka shaqaysiin kartaa oo tan kale waxba ka soo celin kartaa. Ka hor inta aanad dib u qorin qaybta, xaqiiji waxa barta ugu dambaysa ay dhab ahaan u soo celiso isticmaalaha iyo kooxda dhabta ah. Diridda iyo TLS waa mowduucyo kale oo gooni ah, maadaama dirid loo baahan yahay in la raaco oo barta ugu dambaysa ee TLS u baahan ay u baahan tahay faylalka kalsoonida ee u dhigma.

Ku hay xaaladda xisaabta iyo baaxadda raadinta goobahooda gaarka ah

Calanka joojinta wuxuu ka tirsan yahay shaandhada, ma aha hubinta kooxda. Active Directory dhexdiisa waa bittta labaad ee userAccountControl, oo la'aanteed shartaas xisaab joojisan oo leh eray sir ah oo ansax ah way xaqiijinaysaa ka dibna ku guuldareysataa tallaabada kooxda, taas oo u eg cillad oggolaansho. Baaxadda raadinta waxay ka tirsan tahay DN-ka saldhigga, sababtoo ah ka bilaabista xididka domain-ka way gaabisaa oo waxay la kulmi kartaa shayada ka baxsan cutubka hay'adaha ee aad rabtay inaad daboolo.

Sidoo kale ku hay xuquuqda xisaabta isku xirka mid cidhiidhi ah. Xuquuqda hagaha ballaaran waxay shaandhad qaldan u habaysan u beddelaan weydiin guuleysatay oo waxay qarinayaan cilladda ilaa qof uu xisaabta baaro. Beddel xubinnimada hagaha laftiisa, marnaba liiska ka-reebista maxalliga ah, si joojinta xisaabta ay ku filnaato in marin-u-helka laga saaro. Haddii koox kale ay maamusho kooxda, ku heshiiya sifada ay buuxiyaan ka hor inta aanad shaandhad ku qorin.

Ku caddee natiijada saddex xisaabood

Ku socodsii habaynta saddex aqoonsi: xubin la oggolaaday, xisaab ansax ah oo ka baxsan kooxda iyo xisaab la joojiyay. Haddii saddexda la diido, isku xirka ama weydiinta kooxdu way jaban tahay; haddii saddexda la aqbalo, shardi kooxeedna lama fulinayo. Natiijo isku dhafan ayaa kaliya caddaynaysa in habayntu ay kala soocdo xaaladaha adiga muhiimka ku ah.

Akhri saddexda jawaabood isla kuwa ah si toos ah hagaha ka hor inta aanad plugin-ka eedayn. Weydiinta koowaad waxay muujinaysaa sifada kooxda ee shaandhadu ku tiirsan tahay, tan labaadna waxay muujinaysaa qiimaha kontoroolka xisaabta. Ku beddel DN-kaaga saldhigga, xisaabta iyo barta ugu dambaysa:

ldapsearch -H ldap://dc01.example.org:3268 -x -D "[email protected]" -W -b "DC=example,DC=org" "(sAMAccountName=alice)" memberOf
ldapsearch -H ldap://dc01.example.org:3268 -x -D "[email protected]" -W -b "DC=example,DC=org" "(sAMAccountName=bob)" userAccountControl

Isticmaalaha memberOf uu madhan ku soo noqdo waa xaqiiqo hagaha, ma aha cillad plugin, xisaabta wali xaqiijinaysa ka dib joojinteeduna waxay ka dhigan tahay in shaandhada ay ka maqan tahay sharta kontoroolka xisaabta. Marka hore hagaaji caddayntaas, ka dibna mar kale socodsii imtixaanka saddexda xisaabood. Ku hay khadka diiwaanka ee magacaayay tallaabada guuldareysatay barbar beddelaadda habaynta, si qofka xiga uu u kala saari karo oggolaanshaha iyo xaqiijinta isagoo aan raadinta ku celin.