Marin VPN ee akoonka adeegga: shahaado ama gelitaan la wadaago
Isbarbar dhig shahaadda mishiinka iyo furaha sirta ah ee la kaydiyey ee gelitaanka VPN ee aan la ilaalin, oo xadka rukhsadda dhabta ah geli siyaasadda gelitaanka ka dib shaqaysa.
Laba naqshadood ayaa daboolaya ku dhawaad hab kasta oo VPN ah oo aan la ilaalin: gelitaan mensi oo la wadaago oo lagu hayo qoraal, ama shahaad mishiin oo ku xidhan martigeliyaha. Waxay ku guuldareystaan meelo kala duwan, taasina waxay ka muhiimsan tahay xawaaraha habaynta. Furaha sirta ah ee la kaydiyey wuu jabaa marka milkiilihiisu uu beddelo ama tago; shahaaddu way jabaa marka ay dhacdo ama marka martigeliyaha dib loo dhiso iyada oo aan furuhu jirin. Saddex shuruudood ayaa go'aamiya kharashka aad qaadi karto, mana jiro naqshad wax xaddida ilaa siyaasadda fasaxa ay sidaas samayso.
Ka bilow hawsha, ha ka bilownin akoonka
Hawshu waxay qeexdaa xadka: meelaha loo socdo, adeegyada, saacadaha, iyo inta ay fadhiisan karto. Waddada tunnel-ku waa kala bar xadkaas. Gateway-gu wuxuu go'aamiyaa haddii fadhiisinka la ogol yahay; khadka ka dambeeya ayaa go'aamiya waxa fadhiisinku qaban karo. Marka hore qor liiska, oo leh milkiile magac leh, sababtoo ah labada naqshadood ee aqoonsiga waa inay buuxiyaan.
Kala sooc xaqiijinta iyo fasaxa inta aad qorayso. Xaqiijintu waxay ka jawaabtaa yaa isku xira; fasaxu waxay ka jawaabtaa meesha fadhiisinku gaari karo ka dib. RADIUS wuxuu qaybta labaad u qaadaa sida sifooyin ay ka mid yihiin Filter-Id, Framed-IP-Address, Session-Timeout iyo Class, gateway-gu waxay ku dhejiyaa marka gelitaanku guulaysto. Naqshad beddesha gelitaanka oo fasaxa iska dhaqaaqda waxba ma xaddidin.
Gelitaan mensi oo la wadaago: furaha sirta ah wuxuu noqdaa xadka
Dib u isticmaalka akoonka qofka waa waddada ugu dhaqsiyaha badan iyo tan ugu xun ee gabowda. Aqoonsigu waa furaha sirta ah, sidaas darteed wuxuu ku dhammaadaa qoraal, fayl deegaan iyo qaabaynta jadwalka, nuqul kastana wuxuu u baahan yahay rogaal. Marka milkiiluhu beddelo Jimcaha, hawshu way guuldareysataa socodka xiga qofna ma eegayo.
MFA waa halka naqshaddan inta badan ku dumto. Qoraalku ma jawaabi karo codsi push, sidaas darteed akoonka waa laga saaraa siyaasadda, taasina waa akoonka uun ee weeraryahanu dooran lahaa. Ka-reebid, dhaafis meelo la aammin karo iyo ka-dhaafid akoon kasta waa badanaa, midkoodna ma muuqdo qofka xiga ee akhrinaya dejinta kiraystaha.
U-helidda ayaa ah kharashka kale. Fadhi kasta oo ku jira diiwaanka gateway-ga waxay sitaa isla magaca isticmaalaha, sidaas darteed isku-dubbaridka habeenkii lama kala sooci karo shaqada qofka qoray, iyo joojinta hawsha macnaheedu waa joojinta qofkaas.
Shahaad mishiin: aqoonsi ku xidhan martigeliyaha
Shahaaddu waxay su'aasha ka beddelaa waxa akoonku yaqaan una beddelaa waxa martigeliyuhu yahay. EAP-TLS dhexdiisa macmiilku wuxuu soo bandhigaa shahaad oo caddeeyaa inuu hayo furaha gaarka ah ee u dhigma; server-ka siyaasaddu wuxuu mawduuca ama akoonka kombuyuutarka ku xiraa koox oo wuxuu dalbadaa siyaasadda kooxdaas. Ma jiro codsi, ma jiro sir la wadaago oo ku jira fayl qoraal ah.
Xadka ay abuurto waa ka cidhiidhi badan inta dadku filan. Shahaaddu waxay xaqiijisaa martigeliyaha, ma xaqiijiso hawsha, qof kasta oo leh xuquuqda root ama maamule maxalli ah wuxuu furahaas ku isticmaali karaa martigeliyahaas. Furaha ku hay meesha platformadu ka ilaaliso: mid aan la dhoofin karin kaydka shahaadada Windows, TPM taageeray meesha profaylku oggol yahay, ama fayl 0600 oo root leeyahay Linux. Martigeliyaha oo la jabsado waa aqoonsiga oo la jabsado.
Dhicidda waa guuldarada soo noqnoqota. Shahaad dhacda Axadda ayaa hawsha joojisa Axadda, gateway-guna wuxuu inta badan soo sheegaa guuldarro xaqiijin guud halkii uu magacaabi lahaa taariikhda. Taariikhaha ka hubi martigeliyaha hawsha sida qayb ka mid ah buugga socodka:
openssl x509 -in client.pem -noout -subject -issuer -dates
ipsec listcertsJoojintu waxay u baahan tahay waddo uu gateway-gu hubiyo. OpenVPN wuxuu CRL ku akhriyaa ikhtiyaarka crl-verify, strongSwanna wuxuu ku tiirsan yahay CRL ama OCSP sida profaylka xidhiidhka loo dhisay. Haddii midkoodna aan la xidhin, ka-saarista martigeliyaha macnaheedu waa sugidda in shahaaddu dhaedo.
Saddex shuruudood oo go'aamiya midkood
Isbarbardhigga ku samee platformada aad haysato, ma aha naqshad tixraac ah.
Shuruudda koowaad: ma gateway-gu fasaxi karaa aqoonsi mishiin? Haddii uu kaliya magaca isticmaalaha RADIUS ku xiro isticmaale hagaha, shahaaddu waxay xaqiijisaa martigeliyaha kadibna way ku hakataa fasaxa. Shuruudda labaad: hawshu ma u baahan tahay gelitaan kheyraad oo kaliya akoon isticmaale sita, sida wadaag la khariidadeeyay ama shatiga kursi kasta? Markaas aqoonsi mishiin ma beddeli karo, jawaabta daacadda ahna waa akoon isticmaale gaar ah oo leh siyaasad xaddidan. Shuruudda saddexaad: yaa rogaal gelin kara aqoonsiga iyada oo aan qof ku jirin wareegga? Diiwaangelin otomaatig ah ayaa shahaadooyinka ka dhigta mid jaban in la hayo; furaha sirta ah ee qof keliya yaqaan ma aha.
| Constraint | Machine certificate | Dedicated user account with stored secret |
|---|---|---|
| Unattended login | Private key proof, no prompt | Only if the account is exempted from MFA |
| Resource expects a user identity | Works only when the resource accepts computer accounts | Matches the access a person would have |
| Rotation | Re-enrollment, often automated | Secret change plus redeploy of every copy |
| Revocation speed | Tied to CRL or OCSP refresh | Disable the account, immediate |
Shaxda u akhri liis kharash ah, ma aha kala-sarreynta. Tiirka sirta kaydsan wuxuu ku guuleystaa xawaaraha joojinta iyo la jaanqaadka kheyraadka kaliya fahma akoonada isticmaalaha; tiirka shahaaddu wuxuu ku guuleystaa rogaalka iyo in aanu daciifin MFA si qoraalku u shaqeeyo.
Xadka geli siyaasadda, xaqiijinta ka dib
Aqoonsiga aad dooratay wax kasta ha noqdee, xadka rukhsaddu wuxuu ka tirsan yahay siyaasadda xaqiijinta ka dib shaqaysa. NPS dhexdiisa siyaasadaha shabakadda waxaa lagu qiimeeyaa si kala ah, siyaasadda ugu horreysa ee shuruud kasta buuxisa ayaa dejinteeda daldala, sidaas darteed siyaasad ballaaran oo ka sarreysa mid cidhiidhi ah ayaa go'aamisa natiijada, wax kasta ha soo bandhigo macmiilku. Microsoft waxay qaabka shuruudaha iyo dejinta ku qeexdaa guudmar siyaasadda NPS.
Hawsha sii koox u gaar ah ama shuruud siyaasad, oo ku salaysan wax aqoonsiga mishiinku sita: template shahaad, aqoonsiga saldhigga waca, ama cinwaan ka yimid barkad gaar ah. Kadib xaddid fadhiisinka sifooyin: Filter-Id doorka uu gateway-gaaga u xiraa, Session-Timeout gaaban si hawsha hakataysa dib u xaqiijiso halkii ay fadhiisan lahayd maalmo, iyo Framed-IP-Address ka yimid barkad aad dhinaca kale ku ilaaliso firewall. Fasaxa codsigu gaar buu u sii socdaa: tunnel ku socda server database ma aha fasax lagu akhriyo shax ku jira.
Hubi diidmada, kadib qorshee ka-saarista
Gelitaanka shaqeeya waxba kama caddeeyo xuquuqda ugu yar. Taa beddelkeeda tijaabi diidmada: ku xir aqoonsiga hawsha oo u gaadh meel ka baxsan liiska, fur fadhi labaad oo isku mar ah haddii gateway-gu tahay inuu oggolaado mid keliya, oo ku celi gelitaanka ka dib joojinta aqoonsiga.
Kadib isla fadhigaas ku xaqiiji laba meelood. Diiwaanka gateway-ga wuxuu muujiyaa aqoonsiga xaqiijiyay; diiwaanka server-ka siyaasaddu wuxuu muujiyaa siyaasadda u dhacday iyo sifooyinka soo celisay. OpenVPN dhexdiisa server-ku wuxuu diiwaangeliyaa magaca guud ee shahaadda, ipsec statusall ee strongSwan-na wuxuu daabacaa tunnel-ka la aasaasay isagoo wata aqoonsiga la isticmaalayo. Haddii labada diiwaan ay ku kala duwan yihiin aqoonsiga, siyaasaddu waxay u dhacaysaa wax ka duwan waxa aad u malaynayso.
Ka-saaristu waxay ka tirsan tahay naqshadda, ma aha dadaal nadiifin ah. Qor wax kasta oo la tirtirayo (shahaad ama akoon, xubinimada kooxda, siyaasadda shabakadda, gelinta barkadda, qaanuunka firewall ee bartilmaameedka) oo mar ku socodsii inta hawshu fudud tahay in dib loo dhiso.
Haddii maanta bilaabayso, u shaqee sidan: qor liiska kheyraadka, aqoonsiga ku dooro saddexda shuruudood, xadka geli siyaasadda, oo hal diidmo ku tababar hawsha ka hor inta aanay noolaan.